Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 ¹, insbesondere auf Artikel 28 Absatz 9 Unterabsatz 2,

in Erwägung nachstehender Gründe:

(1) Für die Zwecke des Informationsregisters gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen bezieht, die von Drittdienstleistern der Informations- und Kommunikationstechnologie (im Folgenden "IKT-Drittdienstleister") bereitgestellt werden, müssen Standardvorlagen eingeführt werden. Die in diesem Register gesammelten Informationen sind für das interne IKT-Risikomanagement der Finanzunternehmen, für die wirksame Beaufsichtigung der Finanzunternehmen durch ihre zuständigen Behörden und für die Einrichtung und Ausübung der Überwachung kritischer IKT-Drittdienstleister durch die federführende Überwachungsbehörde von wesentlicher Bedeutung. Darüber hinaus sind diese Informationen für den jährlichen Prozess der Benennung kritischer IKT-Drittdienstleister durch die Europäische Bankenaufsichtsbehörde, die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung und die Europäische Wertpapier- und Marktaufsichtsbehörde (zusammen im Folgenden "Europäische Aufsichtsbehörden" oder "ESA") von wesentlicher Bedeutung.

(2) Um sicherzustellen, dass die Ergebnisse der Aufsicht mit den bestehenden Aufsichtsrahmen im Einklang stehen, sollte das Mutterunternehmen von Finanzunternehmen, die Teil einer Gruppe im Sinne der Verordnung (EU) 2022/2554 sind, ermitteln, welche Unternehmen gemäß der Rechtsvorschriften der Union über Finanzdienstleistungen auf teilkonsolidierter und konsolidierter Ebene in das Informationsregister aufzunehmen sind. Zur Senkung der den Gruppen entstehenden Verwaltungskosten sollten diese die Möglichkeit haben, ein zentrales Informationsregister auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene anzulegen, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen bezieht, die von IKT-Drittdienstleistern für sämtliche Finanzunternehmen, die Teil dieser Gruppe sind, erbracht werden. In diesen Fällen sollte das zentrale Informationsregister es jedem Finanzunternehmen ermöglichen, seiner Verpflichtung zur Führung und Aktualisierung des Informationsregisters auf Unternehmensebene und gegebenenfalls auf teilkonsolidierter Ebene, einschließlich seiner Meldepflicht gegenüber seiner zuständigen Behörde, nachzukommen.

(3) Gemäß Artikel 28 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554 müssen Finanzunternehmen beim Management des IKT-Drittparteienrisikos die Art, das Ausmaß, die Komplexität und die Relevanz IKT-bezogener Abhängigkeiten sowie die Risiken infolge vertraglicher Vereinbarungen über die Nutzung von IKT-Dienstleistungen, die mit IKT-Drittdienstleistern geschlossen wurden, berücksichtigen. Bei dieser Risikobewertung sind die Kritikalität oder Bedeutung der jeweiligen Dienstleistungen, Prozesse oder Funktionen sowie die potenziellen Auswirkungen auf die Kontinuität und Verfügbarkeit von Finanzdienstleistungen und -tätigkeiten auf Unternehmens- und Gruppenebene zu berücksichtigen.

(4) Bestimmte sektorspezifische Rechtsvorschriften der Union über Finanzdienstleistungen enthalten Anforderungen an die Auslagerung. Diese Anforderungen wurden in Leitlinien der ESA weiterentwickelt. Nach Maßgabe dieser Leitlinien wird von einigen Finanzunternehmen erwartet, dass sie im Rahmen ihres auslagerungsbezogenen Risikomanagements spezifische Informationen über ihre Auslagerungsvereinbarungen, in einigen Fällen auch in Form von Registern, erfassen. In den letzten Jahren haben mehrere zuständige nationale Behörden und die EZB im Rahmen ihrer Beaufsichtigung der Einhaltung der Auslagerungsanforderungen durch Finanzunternehmen Informationen erhoben, die in diesen Registern angegeben waren. Ausgehend von den Erfahrungen mit den verschiedenen Datenerhebungen, die in den letzten Jahren von den ESA und den zuständigen Behörden für die Auslagerungsregister durchgeführt wurden, sollten die Standardvorlagen technologieneutral mit offenen Tabellen gestaltet werden, die eine vorgegebene Anzahl von Spalten und eine unbestimmte Anzahl von Zeilen aufweisen. Darüber hinaus sollten die Standardvorlagen über verschiedene spezifische Schlüssel miteinander verknüpft werden, sodass eine Beziehungsstruktur zwischen diesen Vorlagen gebildet wird.

(5) Um IKT-Dienstleistungen von einem IKT-Drittdienstleister, einschließlich gruppeninterner IKT-Dienstleister, in Anspruch zu nehmen, schließen Finanzunternehmen einen schriftlichen Vertrag mit dem IKT-Drittdienstleister ab. Bei Gruppen können gruppeninterne IKT-Dienstleister mit externen IKT-Drittdienstleistern einen Vertrag über die Erbringung von IKT-Dienstleistungen für ein oder mehrere Finanzunternehmen der Gruppe schließen. Damit die gesamte IKT-Dienstleistungskette erfasst wird, sollten Finanzunternehmen, die das Informationsregister führen, sowohl Informationen über die vertragliche Vereinbarung mit ihrem gruppeninternen IKT-Dienstleister als auch Informationen über die Vereinbarung zwischen dem gruppeninternen IKT-Dienstleister und den IKT-Drittdienstleistern, die als Unterauftragnehmer außerhalb der Gruppe tätig sind, melden. Daher sollte das Informationsregister eine spezielle Vorlage enthalten, die den Abgleich zwischen den gruppeninternen Verträgen und den Verträgen mit IKT-Drittdienstleistern außerhalb der Gruppe ermöglicht.

(6) Die Erbringung von IKT-Dienstleistungen für Finanzunternehmen kann sich auf potenziell lange oder komplexe Ketten der Unterauftragsvergabe stützen, die von den Finanzunternehmen zu überwachen sind. Finanzunternehmen sollten die damit verbundenen Risiken, einschließlich der Konzentrationsrisiken von IKT-Drittdienstleistern im Hinblick auf IKT-Drittdienstleister, die eine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützen, bewerten und dabei einen risikobasierten Ansatz und den Grundsatz der Verhältnismäßigkeit zugrunde legen. Um diese Bewertung zu ermöglichen, sollten die Finanzunternehmen nur diejenigen Unterauftragnehmer im Informationsregister erfassen müssen, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Bereiche davon sicherstellen, einschließlich aller Unterauftragnehmer, die IKT-Dienstleistungen erbringen, deren Störung die Sicherheit oder Kontinuität des Dienstangebots beeinträchtigen würde. Bei der Ermittlung dieser Unterauftragnehmer sollten Finanzunternehmen Aspekte der Geschäftsfortführung und der Kontinuität der IKT-Dienstleistungen sowie Aspekte der IKT-Sicherheit berücksichtigen.

(7) Finanzunternehmen sollten ein Informationsregister führen und aktualisieren; dies gilt auch für den Fall, dass ein Finanzunternehmen seine gesamte Tätigkeit an ein anderes Unternehmen auslagert, da die Führung des Informationsregisters zur operativen Resilienz des betreffenden Finanzunternehmens beiträgt. Wenn ein Unternehmen für alle Tätigkeiten (einschließlich der IKT-Dienstleistungen) im Namen des Finanzunternehmens handelt, sollten daher die direkten IKT-Drittdienstleister dieses Unternehmens in den einschlägigen Vorlagen des Informationsregisters des Finanzunternehmens erfasst werden. In diesem Fall ist das Unternehmen nur als Unternehmen registriert, das das Register führt.

(8) Im Interesse der Transparenz und Vergleichbarkeit der vertraglichen Vereinbarungen und der laufenden Überwachung dieser Vereinbarungen sollte sich das Informationsregister auf die operationellen Verbindungen zwischen den Finanzunternehmen und den IKT-Drittdienstleistern konzentrieren. Zu diesem Zweck sollte das Informationsregister vier Schlüssel verwenden, die unter anderem relevante Daten in den Vorlagen des Informationsregisters miteinander verknüpfen: i) die Kennnummer der vertraglichen Vereinbarung zwischen dem Finanzunternehmen, das diese Vereinbarung unterzeichnet, und dem direkten IKT-Drittdienstleister, ii) eine geeignete Kennung der Finanzunternehmen und IKT-Drittdienstleister, iii) die Funktionskennung und iv) die Art der IKT-Dienstleistungen.

(9) Um die vertraglichen Vereinbarungen zwischen den Finanzunternehmen und den IKT-Drittdienstleistern gemäß der Verordnung (EU) 2022/2554 angemessen dokumentieren zu können, müssen die IKT-Drittdienstleister eine Identifikationsnummer aufweisen, die ihre kohärente und präzise Identifizierung durch die Finanzunternehmen und die ESA, das Aufsichtsforum und die zuständigen Behörden bei der Ausübung ihrer Aufsichtsbefugnisse, einschließlich der Benennung kritischer IKT-Drittdienstleister gemäß Artikel 31 der genannten Verordnung, ermöglicht. Bei juristischen Personen sind die LEI und die EUID anerkannte internationale und europäische Kennungen, die eine kohärente, eindeutige und zuverlässige Identifizierung von Unternehmen gewährleisten. Folglich sollte eine dieser beiden Kennungen zur Identifizierung der in der Union niedergelassenen IKT-Drittdienstleister für die Zwecke der Anwendung der genannten Verordnung verwendet werden und als Information gelten, die allen vertraglichen Vereinbarungen gemein ist; die Identifizierung von in Drittstaaten niedergelassenen IKT-Drittdienstleistern hingegen sollte lediglich anhand der LEI erfolgen. Die für das Informationsregister über IKT-Drittdienstleister verwendeten Vorlagen sollten für IKT-Dienstleister, die juristische Personen sind, Angaben zu einer dieser beiden Kennungen vorschreiben, während es natürlichen Personen, die in ihrer Eigenschaft als IKT-Dienstleister handeln, gestattet sein sollte, alternative Identifikationscodes zu verwenden.

(10) Jedes Finanzunternehmen, einschließlich der Finanzunternehmen ein und derselben Gruppe, verfügt über eine eigene interne Funktionstaxonomie, die von seinen spezifischen Geschäftsmodellen und internen Organisationen abhängt. Um eine eindeutige Überwachung zu ermöglichen, bei der zwischen den Funktionen der Finanzunternehmen und den IKT-Dienstleistungen unterschieden wird, sollten die Finanzunternehmen selbst unter Verwendung der Funktionskennung auf individueller Ebene und auf Gruppenebene die maßgeblichen Funktionen benennen.

(11) Um die Funktionsfähigkeit des Informationsregisters auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene für alle Finanzunternehmen, die Teil derselben Gruppe sind, zu gewährleisten, haben Finanzunternehmen die Korrektheit und Kohärenz aller Daten in diesem Register sicherzustellen. Zu diesem Zweck ist insbesondere eine kohärente Konsolidierung der Kennungen erforderlich, d. h. der Kennnummern der vertraglichen Vereinbarungen, der Funktionskennung, der LEI der Finanzunternehmen sowie der Kennungen der IKT-Drittdienstleister.

(12) Zur Gewährleistung von Kohärenz und Harmonisierung und zur Vermeidung einer aufwendigen Wiederaufbereitung von Daten für Meldezwecke sollten bei der Gestaltung der Vorlagen und den Anforderungen an die Datenelemente die Aspekte der Datenverwaltung und der Meldepflicht berücksichtigt werden. Um die uneingeschränkte Vergleichbarkeit der im Informationsregister gemeldeten Informationen mit den in anderen regulatorischen oder statistischen Mitteilungen enthaltenen Informationen zu gewährleisten, sollten die Finanzunternehmen bei der Führung und Aktualisierung dieses Registers die Grundsätze der Datenqualität einhalten.

(13) Diese Verordnung beruht auf dem Entwurf technischer Durchführungsstandards, der der Kommission von den ESA vorgelegt wurde.

(14) Die ESA haben zu dem Entwurf der technischen Durchführungsstandards, auf den sich diese Verordnung stützt, offene öffentliche Anhörungen durchgeführt, die damit verbundenen potenziellen Kosten- und Nutzeneffekte analysiert und Empfehlungen der Interessengruppen der ESA nach Artikel 37 der Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates ², Artikel 37 der Verordnung (EU) Nr. 1094/2010 des Europäischen Parlaments und des Rates ³ und Artikel 37 der Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates ⁴ eingeholt.

(15) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates angehört ⁵.

- hat folgende Verordnung erlassen:

Artikel 1 Begriffsbestimmungen

Für die Zwecke dieser Verordnung bezeichnet der Ausdruck

1. "direkter IKT-Drittdienstleister" einen IKT-Drittdienstleister oder einen gruppeninternen IKT-Dienstleister, der eine vertragliche Vereinbarung unterzeichnet hat mit

1. einem Finanzunternehmen, um seine IKT-Dienstleistungen direkt für dieses Finanzunternehmen zu erbringen,
2. einem Finanzunternehmen oder Nichtfinanzunternehmen, um seine Dienstleistungen für andere Finanzunternehmen innerhalb derselben Gruppe zu erbringen,

2. "IKT-Dienstleistungskette" eine Abfolge von vertraglichen Vereinbarungen im Zusammenhang mit der IKT-Dienstleistung, die vom direkten IKT-Drittdienstleister für das Finanzunternehmen erbracht wird, beginnend mit dem direkten IKT-Drittdienstleister, der einen oder mehrere andere IKT-Drittdienstleister als Gegenpartei(en) (Unterauftragnehmer) hat,

3. "Rang" die Position eines IKT-Drittdienstleisters in der IKT-Dienstleistungskette.

Artikel 2 Erstellung einer Rangfolge von IKT-Drittdienstleistern in der Dienstleistungskette

Finanzunternehmen weisen jedem IKT-Drittdienstleister einen Rang zu. Der Rang ist eine beliebige natürliche Zahl größer oder gleich "1", wobei die Vereinbarung dem Finanzunternehmen umso näher steht, je niedriger die natürliche Zahl ist, die dem Rang zugeordnet ist.

Der Rang des direkten IKT-Drittdienstleisters in der IKT-Dienstleistungskette muss stets "1" sein.

Der Rang des Unterauftragnehmers in der IKT-Dienstleistungskette muss stets größer als "1" sein.

Artikel 3 Allgemeine Anforderungen an die Vorlagen des Informationsregisters

(1) Die Finanzunternehmen führen und aktualisieren das Informationsregister gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2022/2554 auf Unternehmensebene oder auf teilkonsolidierter und konsolidierter Ebene unter Verwendung der in den Anhängen I bis IV enthaltenen Vorlagen.

(2) Die Finanzunternehmen stellen sicher, dass die in Absatz 1 genannten Vorlagen alle nachstehenden Angaben enthalten:

1. die einschlägigen Informationen in Bezug auf sämtliche IKT-Dienstleistungen, die von direkten IKT-Drittdienstleistern erbracht werden,
2. Informationen über alle Unterauftragnehmer, die IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen oder wesentlicher Bereiche davon sicherstellen.

(3) Die Finanzunternehmen stellen sicher, dass die Angaben in den in Absatz 1 genannten Vorlagen korrekt und kohärent sind. Die Finanzunternehmen überprüfen die in den Vorlagen enthaltenen Angaben regelmäßig und korrigieren unverzüglich festgestellte Fehler oder Unstimmigkeiten.

Im Falle von Gruppen stellen die Finanzunternehmen, die für die Führung und Aktualisierung des Informationsregisters auf teilkonsolidierter und konsolidierter Ebene zuständig sind, sicher, dass die Angaben in Bezug auf die Unternehmensebene in der Konsolidierung korrekt sind und mit den Angaben auf teilkonsolidierter und konsolidierter Ebene übereinstimmen.

(4) Die Finanzunternehmen stellen sicher, dass die Angaben in den in Absatz 1 genannten Vorlagen den folgenden Grundsätzen der Datenqualität entsprechen:

1. Richtigkeit
2. Vollständigkeit
3. Kohärenz
4. Integrität
5. Einheitlichkeit
6. Gültigkeit

(5) Die Finanzunternehmen verwenden eine gültige und aktive Rechtsträgerkennung (Legal Entity Identifier, im Folgenden "LEI") oder die in Artikel 16 der Richtlinie (EU) 2017/1132 genannte europäische einheitliche Kennung (European Unique Identifier, im Folgenden "EUID") bzw., sofern vorhanden, beide Kennungen, um alle ihre IKT-Drittdienstleister, bei denen es sich um juristische Personen handelt, zu identifizieren, mit Ausnahme von natürlichen Personen, die als Unternehmer handeln.

(6) Wenn eine IKT-Dienstleistung, die von einem direkten IKT-Drittdienstleister erbracht wird, eine kritische oder wichtige Funktion der Finanzunternehmen unterstützt, stellen die Finanzunternehmen über den direkten IKT-Drittdienstleister sicher, dass alle Unterauftragnehmer des direkten IKT-Drittdienstleisters, die im Informationsregister gemäß Absatz 2 Buchstabe b aufgeführt sind und IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, sicherstellen/unterstützen, eine gültige und aktive LEI verwenden oder ihre EUID bzw., sofern vorhanden, beide Kennungen bereitstellen, es sei denn, bei diesen Unterauftragnehmern handelt es sich um natürliche Personen, die als Unternehmer handeln.

Artikel 4 Anforderung an das Datenformat

(1) Sofern in der Anleitung nichts anderes bestimmt ist, bestehen alle Vorlagen, aus denen sich das Informationsregister zusammensetzt, aus einer Tabelle mit einer vorgegebenen Anzahl von Spalten und einer unbestimmten Anzahl von Zeilen.

(2) Die Finanzunternehmen müssen zu jedem Datenelement einen Einzelwert angeben. Sind bei einem bestimmten Datenelement mehrere Werte gültig, so fügen die Finanzunternehmen in der entsprechenden Vorlage für jeden gültigen Wert eine zusätzliche Zeile hinzu.

(3) Die Finanzunternehmen geben alle Datenelemente im Informationsregister auf Unternehmensebene bzw. gegebenenfalls auf teilkonsolidierter und konsolidierter Ebene an.

Artikel 5 Inhalt des Informationsregisters

(1) Finanzunternehmen nehmen in das Informationsregister gemäß der Anleitung in Anhang I folgende Angaben auf:

1. allgemeine Informationen über das Finanzunternehmen, das das Informationsregister auf Unternehmensebene bzw. auf teilkonsolidierter oder konsolidierter Ebene führt und aktualisiert, gemäß Vorlage B_01.01 in Anhang I,
2. allgemeine Informationen zu den in der Konsolidierung befindlichen Unternehmen gemäß Vorlage B_01.02 in Anhang I,
3. gegebenenfalls Angabe der Zweigniederlassungen von Finanzunternehmen, die außerhalb des in der Vorlage B_01.02 aufgeführten Sitzlandes ansässig sind, gemäß Vorlage B_01.03 in Anhang I,
4. allgemeine Informationen zu den vertraglichen Vereinbarungen gemäß Vorlage B_02.01 in Anhang I,
5. spezifische Informationen zu den vertraglichen Vereinbarungen gemäß Vorlage B_02.02 in Anhang I,
6. Angaben zu den Verbindungen zwischen gruppeninternen vertraglichen Vereinbarungen und vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, die nicht der Gruppe angehören, und zwar unter Verwendung der vertraglichen Kennnummern, wenn ein Teil der IKT-Dienstleistungskette gruppenintern ist (siehe Vorlage B_02.03 in Anhang I),
7. Informationen über die Unternehmen, die die vertraglichen Vereinbarungen mit den direkten IKT-Drittdienstleistern für den Erhalt von IKT-Dienstleistungen oder im Namen der Unternehmen, die die IKT-Dienstleistungen in Anspruch nehmen, unterzeichnen (siehe Vorlage B_03.01 in Anhang I),
8. Angabe der IKT-Drittdienstleister, die die vertraglichen Vereinbarungen für die Erbringung von IKT-Dienstleistungen unterzeichnen (siehe Vorlage B_03.02 in Anhang I),
9. Angabe der Unternehmen, die die vertraglichen Vereinbarungen über die Erbringung von IKT-Dienstleistungen für andere zum Konsolidierungskreis gehörende Unternehmen unterzeichnen (siehe Vorlage B_03.03 in Anhang I),
10. Angaben zu den Unternehmen, die die von den IKT-Drittdienstleistern bereitgestellten IKT-Dienstleistungen in Anspruch nehmen (siehe Vorlage B_04.01 in Anhang I),
11. Angaben zu den direkten IKT-Drittdienstleistern und Unterauftragnehmern (siehe Vorlage B_05.01 in Anhang I),
12. Angaben zur IKT-Dienstleistungskette (siehe Vorlage B_05.02 in Anhang I),
13. Angaben zur Identifizierung der Funktionen (siehe Vorlage B_06.01 in Anhang I),
14. Angaben zur Bewertung der von IKT-Drittdienstleistern erbrachten IKT-Dienstleistungen, die eine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützen (siehe Vorlage B_07.01 in Anhang I),
15. Informationen über die von Finanzunternehmen beim Ausfüllen der Vorlagen verwendete Terminologie und die entsprechenden Begriffe, die in den erschöpfenden Listen und Klassifizierungssystemen enthalten sind (siehe Vorlage B_99.01 in Anhang I).

(2) Sofern dies für ihr Risikomanagement oder ihr Vertragsmanagement relevant ist, können die Finanzunternehmen zusätzliche Informationen in das Informationsregister aufnehmen, und zwar in dem Format, das für die Zwecke dieser zusätzlichen Informationen am besten geeignet ist.

Artikel 6 Anwendungsbereich des Informationsregisters auf teilkonsolidierter und konsolidierter Ebene

(1) Bei Gruppen entscheiden die Mutterunternehmen unter Berücksichtigung der einschlägigen sektorspezifischen Rechtsvorschriften der Union, welche Unternehmen in das Informationsregister aufgenommen werden sollen.

(2) Das auf teilkonsolidierter und konsolidierter Ebene geführte und aktualisierte Informationsregister umfasst alle Finanzunternehmen und gruppeninternen IKT-Dienstleister, die zur Teilgruppe und zur Gruppe gehören.

Artikel 7 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 29. November 2024

.

Teil 1
Allgemeine Anleitungen

Finanzunternehmen, die das Informationsregister auf Unternehmensebene, teilkonsolidierter und konsolidierter Ebene führen und aktualisieren, tragen die Daten in die Vorlagen des Informationsregisters ein und verwenden dabei die in Teil 2 der Anleitung genannten Formate.

Teil 2 enthält Anleitungen, die von den Finanzunternehmen beim Ausfüllen der einzelnen Spalten in den jeweiligen Vorlagen zu befolgen sind. Beim Ausfüllen bestimmter Spalten müssen die Finanzunternehmen auf die Anhänge II, III und IV oder andere externe Quellen zurückgreifen. In diesem Fall wird in den Anleitungen auf die entsprechenden Anhänge oder externen Quellen verwiesen.

Liste der Vorlagen

Teil 2
Anleitungen zu den einzelnen Vorlagen

Anleitung zum Ausfüllen der Vorlage B_01.01 - Finanzunternehmen, das das Informationsregister führt

Geben Sie das Finanzunternehmen an, das das Informationsregister führt und aktualisiert.

Anleitung zum Ausfüllen der Vorlage B_01.02 - Liste der Finanzunternehmen, die in den Anwendungsbereich des Informationsregisters fallen

Wird das Informationsregister auf teilkonsolidierter und konsolidierter Ebene geführt und aktualisiert, so werden in dieser Vorlage alle Finanzunternehmen aufgeführt, die zur Teilgruppe und Gruppe gehören. Gehört das für die Führung und Aktualisierung des Informationsregisters zuständige Finanzunternehmen keiner Gruppe an, ist in dieser Vorlage nur das betreffende Finanzunternehmen auszuweisen, und der Eintrag in dieser Vorlage muss mit dem Eintrag in der Vorlage B_01.01 identisch sein.

Wenn ein Unternehmen für alle Tätigkeiten (einschließlich der IKT-Dienstleistungen) im Namen eines Finanzunternehmens handelt, sollten die direkten IKT-Drittdienstleister dieses Unternehmens in den einschlägigen Vorlagen des Informationsregisters des Finanzunternehmens erfasst werden. In diesem Fall wird das Unternehmen nur als Unternehmen registriert, das das Register führt, und nicht in dieser Vorlage angegeben.

Anleitung zum Ausfüllen der Vorlage B_01.03 - Liste der Zweigniederlassungen

Hat ein Finanzunternehmen Zweigniederlassungen, die sich außerhalb seines Sitzlandes befinden, so sind diese Zweigniederlassungen in dieser Vorlage anzugeben.

Anleitung zum Ausfüllen der Vorlage B_02.01 - Vertragliche Vereinbarungen - Allgemeine Informationen

Finanzunternehmen müssen für jede vertragliche Vereinbarung im Informationsregister eine "Kennnummer der vertraglichen Vereinbarung" angeben. Nimmt der externe IKT-Drittdienstleister Unterauftragnehmer in Anspruch, erfassen die Finanzunternehmen im Informationsregister für Vereinbarungen zwischen den externen IKT-Drittdienstleistern und ihren Unterauftragnehmern keine "Kennnummer der vertraglichen Vereinbarung". Im Falle eines gruppeninternen IKT-Dienstleisters erfassen die Finanzunternehmen in dieser Vorlage die "Kennnummer der vertraglichen Vereinbarung" zwischen diesem gruppeninternen IKT-Dienstleister und seinen IKT-Drittdienstleistern und füllen die Vorlage B_02.03 (Liste der gruppeninternen vertraglichen Vereinbarungen) entsprechend aus.

Die "Kennnummer der vertraglichen Vereinbarung" bezieht sich auf die folgenden Arten von vertraglichen Vereinbarungen:

1. jede Art von eigenständigen Vereinbarungen,
2. jede Art von "übergeordneten Vereinbarungen oder Rahmenübereinkünften", einschließlich Globalvereinbarungen und Rahmenübereinkünften,
3. jede Art von "Folge- oder Nebenvereinbarungen", einschließlich Durchführungsvereinbarungen, Unterdienstleistungsvereinbarungen und Bestellscheinen.

Die Kennnummer der vertraglichen Vereinbarung bezieht sich nicht auf Dienstgütevereinbarungen, die einer der in den Buchstaben a, b und c oben genannten vertraglichen Vereinbarungen untergeordnet sind.

Anleitung zum Ausfüllen der Vorlage B_02.02 - Vertragliche Vereinbarungen - Spezifische Informationen

Die Finanzunternehmen sind gehalten, diese Vorlage mit der größtmöglichen Granularität auszufüllen. Umfasst die vertragliche Vereinbarung mehrere IKT-Dienstleistungen, die mehrere Funktionen unterstützen, müssen die Finanzunternehmen entsprechend viele Zeilen für die Elemente in der Vorlage verwenden, wobei die von der vertraglichen Vereinbarung abgedeckten IKT-Dienstleistungen und die Funktionen des Finanzunternehmens kombiniert werden.

Anleitung zum Ausfüllen der Vorlage B_02.03 - Liste der gruppeninternen vertraglichen Vereinbarungen

In der Vorlage B_02.03 werden vertragliche Vereinbarungen aus derselben IKT-Dienstleistungskette anhand der gruppeninternen Vertragskennnummern erfasst, wenn die IKT-Dienstleistungskette gruppeninterne IKT-Dienstleister enthält, d. h. wenn mindestens einer der IKT-Drittdienstleister in der IKT-Dienstleistungskette ein Unternehmen ist, das derselben Gruppe angehört wie das Unternehmen, das die IKT-Dienstleistungen in Anspruch nimmt.

Anleitung zum Ausfüllen der Vorlage B_03.01 - Unternehmen, die die vertraglichen Vereinbarungen für den Erhalt der IKT-Dienstleistung(en) im Namen der Finanzunternehmen, die die IKT-Dienstleistung(en) in Anspruch nehmen, unterzeichnen

Geben Sie alle in Vorlage B_01.02 genannten Finanzunternehmen an, die die in Vorlage B_02.01 genannten vertraglichen Vereinbarungen über den Erhalt von IKT-Dienstleistungen unterzeichnen. Wird das Informationsregister auf Unternehmensebene geführt und aktualisiert, so ist das Finanzunternehmen, das die vertraglichen Vereinbarungen unterzeichnet, das Finanzunternehmen selbst, das das Informationsregister führt und aktualisiert.

Das Unternehmen, das die vertragliche Vereinbarung unterzeichnet, ist weder notwendigerweise ein Finanzunternehmen noch das Finanzunternehmen, das die vom IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen in Anspruch nimmt.

Beispielsweise kann es sich bei dem Unternehmen, das die in Unterabsatz 2 genannte vertragliche Vereinbarung unterzeichnet, um einen gruppeninternen IKT-Dienstleister, um ein Finanzunternehmen oder um ein Nichtfinanzunternehmen handeln, das derselben Gruppe angehört wie die Finanzunternehmen, die die vom IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen in Anspruch nehmen.

Anleitung zum Ausfüllen der Vorlage B_03.02 - IKT-Drittdienstleister, die die vertraglichen Vereinbarungen für die Erbringung der IKTDienstleistung(en) unterzeichnen

Geben Sie in dieser Vorlage alle in der Vorlage B_05.01 genannten IKT-Drittdienstleister an, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen zur Erbringung der IKT-Dienstleistungen unterzeichnen.

Anleitung zum Ausfüllen der Vorlage B_03.03 - Finanzunternehmen, die die vertraglichen Vereinbarungen über die Erbringung der IKTDienstleistung(en) für andere Finanzunternehmen im Konsolidierungskreis unterzeichnen

Geben Sie alle in der Vorlage B_01.02 genannten Finanzunternehmen an, die die in der Vorlage B_02.01 genannten vertraglichen Vereinbarungen über die Erbringung von IKT-Dienstleistungen für andere in der Vorlage B_01.02 genannte Unternehmen im Konsolidierungskreis unterzeichnet haben.

Anleitung zum Ausfüllen der Vorlage B_04.01 - Finanzunternehmen, die IKT-Dienstleistungen in Anspruch nehmen

In dieser Vorlage sind alle in Vorlage B_01.02 genannten Finanzunternehmen und die in Vorlage B_01.03 genannten Zweigniederlassungen von Finanzunternehmen zu melden, die IKT-Dienstleistungen eines IKT-Drittdienstleisters in Anspruch nehmen.

Anleitung zum Ausfüllen der Vorlage B_05.01 - IKT-Drittdienstleister

Finanzunternehmen führen alle relevanten IKT-Drittdienstleister auf, darunter:

1. alle direkten IKT-Drittdienstleister,
2. alle gruppeninternen IKT-Dienstleister,
3. alle Unterauftragnehmer, die in der Vorlage B_05.02 zur IKT-Dienstleistungskette aufgeführt sind,
4. alle obersten Mutterunternehmen der unter den Buchstaben a, b und c oben genannten IKT-Drittdienstleister.

   Spaltencode	Spaltenbezeichnung	Art	Hinweise zum Ausfüllen	Ausfülloption
   B_05.01.0010	Identifikationscode des IKT-Drittdienstleisters	Alphanumerisch	Code zur Identifizierung des IKT-Drittdienstleisters. Wird die LEI verwendet, so ist diese als 20-stelliger alphanumerischer Code gemäß der Norm ISO 17442 anzugeben. Wird die EUID verwendet, so ist diese gemäß Artikel 9 der Durchführungsverordnung (EU) 2021/1042 der Kommission anzugeben.	Obligatorisch
   B_05.01.0020	Art des Codes zur Identifizierung des IKT-Drittdienstleisters	Muster	Art des Codes zur Identifizierung des IKT-Drittdienstleisters gemäß B_05.01.0010. 'LEI' für LEI, 'EUID für EUID, CRN für die Handelsregisternummer, VAT für die Umsatzsteuer-Identifikationsnummer, PNR für die Reisepassnummer, NIN für die Nummer des Personalausweises. Für juristische Personen gemäß den Angaben in B_05.01.0070 sind nur die LEI oder die EUID zu verwenden; ein alternativer Code darf nur für eine natürliche Person verwendet werden, die als Unternehmer handelt. Für nicht in der Union niedergelassene juristische Personen ist nur die LEI zu verwenden.	Obligatorisch
   B_05.01.0030	Zusätzlicher Identifikationscode des IKT-Drittdienstleisters	Alphanumerisch	Zusätzlicher Code zur Identifizierung des IKT-Drittdienstleisters, wenn verfügbar.	Optional
   B_05.01.0040	Art des zusätzlichen Codes zur Identifizierung des IKT-Drittdienstleisters	Muster	Art des zusätzlichen Codes zur Identifizierung des IKT-Drittdienstleisters gemäß den Angaben in B_05.01.0030: "LEI" für LEI, "EUID" für EUID, CRN für die Handelsregisternummer, VAT für die Umsatzsteuer-Identifikationsnummer, PNR für die Reisepassnummer, NIN für die Nummer des Personalausweises. Für juristische Personen gemäß den Angaben in B_05.01.0070 sind die LEI oder die EUID zu verwenden; ein alternativer Code darf nur für eine natürliche Person verwendet werden, die in als Unternehmer handelt. Für nicht in der Union niedergelassene juristische Personen ist nur die LEI zu verwenden.	Obligatorisch, wenn B_05.01.0030 gemeldet wird
   B_05.01.0050	Offizielle Bezeichnung des IKT-Drittdienstleisters	Alphanumerisch	Offizielle Bezeichnung des IKT-Drittdienstleisters, wie im Unternehmensregister in lateinischer, kyrillischer oder griechischer Schrift angegeben.	Obligatorisch
   B_05.01.0060	Name des IKT-Drittdienstleisters in lateinischer Schrift	Alphanumerisch	Name des IKT-Drittdienstleisters in lateinischer Schrift. Ist der Name des IKT-Drittanbieters gemäß B_05.01.0050 in lateinischer Schrift angegeben, so ist er in diesem Datenfeld zu wiederholen.	Obligatorisch
   B_05.01.0070	Art der Person des IKT-Drittdienstleisters	Erschöpfende Liste von Optionen	Aus der folgenden erschöpfenden Liste ist eine Option auszuwählen: Juristische Person, ausgenommen natürliche Personen, die als Unternehmer handeln Natürliche Person, die als Unternehmer handelt	Obligatorisch
   B_05.01.0080	Land, in dem der IKT-Drittdienstleister seinen Sitz hat	Land	Geben Sie den ISO 3166-1-Alpha-2-Code des Landes an, in dem sich die weltweite Hauptverwaltung des IKT-Drittdienstleisters befindet (in der Regel handelt es sich bei dem Land um das Land der steuerlichen Ansässigkeit).	Obligatorisch
   B_05.01.0090	Währung des in B_05.01.0100 ausgewiesenen Betrags	Währung	Geben Sie den alphabetischen ISO 4217-Code der Währung an, in der der Betrag in B_05.01.0100 ausgewiesen ist. Die Beträge sind in der Währung auszuweisen, die das Finanzunternehmen bei der Aufstellung des Jahresabschlusses je nach Sachlage auf Unternehmensebene, teilkonsolidierter oder konsolidierter Ebene verwendet.	Obligatorisch, wenn B_05.01.0100 gemeldet wird
   B_05.01.0100	Jährliche Gesamtausgaben oder voraussichtliche Kosten für den IKT-Drittdienstleister	Monetär	Jährliche Ausgaben oder voraussichtliche Kosten für die Nutzung der IKT-Dienstleistungen, die der IKT-Drittdienstleister für die Unternehmen erbringt, die die IKT-Dienstleistungen in Anspruch nehmen. Der monetäre Wert ist in Einheiten anzugeben.	Obligatorisch, wenn es sich bei dem IKT-Drittdienstleister um einen direkten IKT-Drittdienstleister handelt
   B_05.01.0110	Identifikationscode des obersten Mutterunternehmens des IKT-Drittdienstleisters	Alphanumerisch	Code zur Identifizierung des obersten Mutterunternehmens des IKT-Drittdienstleisters. Der zur Identifizierung des obersten Mutterunternehmens in diesem Feld verwendete Code muss mit dem in B_05.01.0010 für dieses oberste Mutterunternehmen angegebenen Identifikationscode übereinstimmen. Ist der IKT-Drittdienstleister nicht Teil einer Gruppe, so ist der zur Identifizierung dieses IKT-Drittdienstleisters in B_05.01.0010 verwendete Identifikationscode in diesem Datenfeld zu wiederholen.	Obligatorisch, wenn der IKT-Drittdienstleister nicht das oberste Mutterunternehmen ist
   B_05.01.0120	Art des Codes zur Identifizierung des Mutterunternehmens des IKT-Drittdienstleisters	Muster	Art des Codes zur Identifizierung obersten Mutterunternehmens des IKT-Drittdienstleisters gemäß B_05.01.0110. Die Art des Codes zur Identifizierung des obersten Mutterunternehmens in diesem Feld muss mit dem in B_05.01.0020 für dieses oberste Mutterunternehmen angegebenen Identifikationscode übereinstimmen. Ist der IKT-Drittdienstleister nicht Teil einer Gruppe, so ist die Art des Identifikationscodes, der in B_05.01.0020 zur Identifizierung dieses IKT-Drittdienstleisters verwendet wurde, in diesem Datenfeld zu wiederholen.	Obligatorisch, wenn der IKT-Drittdienstleister nicht das oberste Mutterunternehmen ist

Anleitung zum Ausfüllen der Vorlage B_05.02 - IKT-Dienstleistungsketten

In dieser Vorlage werden die IKT-Drittdienstleister, die Teil derselben IKT-Dienstleistungskette sind, gemeinsam ausgewiesen und zueinander in Beziehung gesetzt.

Die IKT-Dienstleistungskette umfasst gegebenenfalls Folgendes:

1. alle direkten IKT-Drittdienstleister,
2. alle gruppeninternen IKT-Dienstleister,
3. bei IKT-Dienstleistungen, die eine kritische oder wichtige Funktion oder einen wesentlichen Bereich davon unterstützen, alle Unterauftragnehmer, die die Erbringung dieser IKT-Dienstleistungen sicherstellen (d. h. alle Unterauftragnehmer, die IKT-Dienstleistungen erbringen, deren Störung die Sicherheit oder Kontinuität des Dienstangebots beeinträchtigen würde),
4. wenn ein gruppeninterner IKT-Dienstleister zur Erbringung seiner IKT-Dienstleistungen für das Finanzunternehmen Unterauftragnehmer einsetzt, zumindest den ersten Unterauftragnehmer außerhalb der Gruppe, auch wenn die erbrachten IKT-Dienstleistungen keine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützen.

Alle IKT-Drittdienstleister, die derselben IKT-Dienstleistungskette angehören, weisen die folgenden gemeinsamen Merkmale auf:

1. dieselbe "Kennnummer der vertraglichen Vereinbarung" gemäß Vorlage B_02.01,
2. dieselbe "Art von IKT-Dienstleistungen" gemäß Anhang III.

Jedem IKT-Drittdienstleister, der zu derselben IKT-Dienstleistungskette gehört, wird ein "Rang" (Vorlage B_05.02.0050) zugewiesen, um seine Position innerhalb der IKT-Dienstleistungskette zu kennzeichnen. Haben mehrere IKT-Drittdienstleister dieselbe Position innerhalb derselben IKT-Dienstleistungskette, so wird diesen Anbietern derselbe "Rang" zugewiesen. Gemäß Artikel 2 liegen die direkten IKT-Drittdienstleister somit an erster Stelle (Rang 1). Ist die Rangnummer größer als 1, so sind die IKT-Drittdienstleister Unterauftragnehmer.

Um die IKT-Drittdienstleister, die zu derselben IKT-Dienstleistungskette gehören, zueinander in Beziehung zu setzen, müssen die Finanzunternehmen für jeden IKT-Unterauftragnehmer (d. h. dessen "Rangnummer" größer als 1 ist) den IKT-Drittdienstleister identifizieren, der die im Unterauftrag vergebenen Dienstleistungen erhält. Die Identifizierung des IKT-Drittdienstleisters, der die im Unterauftrag vergebenen Dienstleistungen erhält, erfolgt über die Spalten B_05.02.0060 und B_05.02.0070.

Für jede IKT-Dienstleistungskette (d. h. eine Kombination aus einer "Kennnummer der vertraglichen Vereinbarung" und einer "Art von IKT-Dienstleistungen"), bei der es mehrere IKT-Drittdienstleister gibt, die die im Unterauftrag vergebenen Dienstleistungen erhalten, sind alle diese Dienstleister in separaten Zeilen in der Vorlage auszuweisen. Diese Logik gilt für jeden Rang der IKT-Dienstleistungskette.

Anleitung zum Ausfüllen der Vorlage B_06.01 - Angabe der Funktionen

Finanzunternehmen müssen entsprechend ihrer internen Organisation, die durch IKT-Dienste von IKT-Drittdienstleistern unterstützt wird, alle einschlägigen Funktionen angeben und Informationen hierüber bereitstellen.

Jeder Kombination der folgenden Elemente muss eine eindeutige Funktionskennung zugewiesen werden:

1. "LEI des Finanzunternehmens, das die IKT-Dienstleistung(en) in Anspruch nimmt", Spalte B_06.01.0040,
2. "Genehmigte Tätigkeit", Spalte B_06.01.0020,
3. "Bezeichnung der Funktion", Spalte B_06.01.0030.

Die Finanzunternehmen müssen zum Ausfüllen dieser Vorlage so viele Zeilen verwenden, wie Elemente in der Vorlage vorhanden sind, wenn sie die beiden obigen Punkte kombinieren.

Anleitung zum Ausfüllen der Vorlage B_07.01 - Bewertung der IKT-Dienstleistungen

Wenn eine kritische oder wichtige Funktion oder wesentliche Bereiche davon unterstützt werden, ermöglicht diese Vorlage weitere Bewertungen der IKT-Dienstleistungen, die von IKT-Drittdienstleistern (einschließlich des ersten gruppenfremden Unterauftragnehmers in der IKT-Dienstleistungskette, wenn es sich bei den vorherigen IKT-Drittdienstleistern um gruppeninterne Dienstleister handelt) für das Finanzunternehmen erbracht werden.

Anleitung zum Ausfüllen der Vorlage B_99.01 - Terminologie der Finanzunternehmen, die die IKT-Dienstleistungen nutzen

Die Finanzunternehmen stellen unternehmensinterne Erläuterungen, Bedeutungen und Begriffsbestimmungen in Bezug auf den erschöpfenden Indikatorenkatalog und Optionen, die im Informationsregisters verwendet werden, bereit.

Wird auf eine Art von IKT-Dienstleistungen in den Vorlagen des Informationsregisters Bezug genommen, ist nur die Kennung (von S01 bis S19) der betreffenden Art von IKT-Dienstleistungen anzugeben.

.

ENDE