Die Europäische Kommission -

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 ¹, insbesondere auf Artikel 41 Absatz 2 Unterabsatz 2,

in Erwägung nachstehender Gründe:

(1) Der mit der Verordnung (EU) 2022/2554 geschaffene Überwachungsrahmen sollte auf einer strukturierten und kontinuierlichen Zusammenarbeit zwischen den Europäischen Aufsichtsbehörden (ESA) und den zuständigen Behörden im Rahmen des Überwachungsforums und der gemeinsamen Untersuchungsteams aufbauen.

(2) Die in Artikel 40 Absatz 2 der Verordnung (EU) 2022/2554 genannten Behörden sollten sicherstellen, dass ihre Mitarbeiter, die zu Mitgliedern des in Artikel 40 Absatz 1 der besagten Verordnung genannten gemeinsamen Untersuchungsteams ernannt werden sollen, über das erforderliche technische Fachwissen für die in den gemeinsamen Untersuchungsteams benötigten Profile verfügen. Der Nachweis, dass eine Behörde nicht über Mitarbeiter mit dem für die gemeinsamen Untersuchungsteams erforderlichen spezifischen Fachwissen verfügt, sollte von der federführenden Überwachungsbehörde als hinreichender Grund dafür angesehen werden, die Behörden zu diesem Zeitpunkt von ihrer Verpflichtung zu entbinden, Mitarbeiter für die gemeinsamen Untersuchungsteams zu benennen. In diesem Fall sollte sich die Behörde dennoch verpflichten, diesen Mangel an Fachwissen nach besten Kräften zu beheben, und versuchen, ihre Fähigkeiten zu stärken, um im Rahmen der nächsten Übung einen Beitrag zu den gemeinsamen Untersuchungsteams zu leisten.

(3) Mitarbeiter der in Artikel 40 Absatz 2 der Verordnung (EU) 2022/2554 genannten Behörden, die als Mitglieder eines gemeinsamen Untersuchungsteams gemäß Artikel 40 Absatz 1 dieser Verordnung benannt werden, sollten weiterhin Beschäftigte der benennenden Behörde sein und daher den in ihren Arbeitsverträgen festgelegten Bestimmungen zu den Arbeitszeiten und dem ständigen Arbeitsort unterliegen.

(4) Um bei der Durchführung von Überwachungstätigkeiten einen möglichst wirksamen Ressourceneinsatz zu gewährleisten, sollten Mitglieder gemeinsamer Untersuchungsteams mehreren gemeinsamen Untersuchungsteams angehören und mehrere kritische IKT-Drittdienstleister überwachen können. Was die Anzahl der kritischen IKT-Drittdienstleister, die einem bestimmten Mitglied des gemeinsamen Untersuchungsteams zugewiesen werden sollen, und den allgemeinen Mitarbeiterbedarf der gemeinsamen Untersuchungsteams betrifft, sollten das Risikoprofil der kritischen IKT-Drittdienstleister und die geplante Intensität der Überwachungstätigkeiten berücksichtigt werden. Diese Möglichkeit, mehrere kritische IKT-Drittdienstleister zu überwachen, wird im strategischen mehrjährigen Überwachungsplan berücksichtigt, der von den federführenden Überwachungsbehörden jährlich im erforderlichen Umfang auf den neuesten Stand gebracht wird und sich im individuellen jährlichen Überwachungsplan niederschlägt. Um sicherzustellen, dass bei der personellen Besetzung der gemeinsamen Untersuchungsteams durch die benennenden Behörden die geplanten und laufenden Verpflichtungen zuverlässig eingehalten werden, sollte die federführende Überwachungsbehörde sowohl das gemeinsame Überwachungsnetz als auch das Überwachungsforum zum strategischen mehrjährigen Überwachungsplan konsultieren.

(5) Die federführende Überwachungsbehörde sollte bei der Ermittlung der Zahl der Mitarbeiter jedes gemeinsamen Untersuchungsteams und der sich daraus ergebenden Zusammensetzung eine Kombination aus Kriterien und Grundsätzen anwenden. Angesichts des unterschiedlichen technologischen und geografischen Fußabdrucks und der Inanspruchnahme kritischer IKT-Drittdienstleister durch verschiedene Finanzunternehmen sollten diese Kriterien und Grundsätze dem technischen Charakter der Überwachungsaufgaben, dem unterschiedlichen Grad der Abhängigkeit der Finanzunternehmen von den durch die kritischen IKT-Drittdienstleister erbrachten Dienstleistungen, der geografischen Verteilung, der Größe und der Zahl der Finanzunternehmen, die auf diese Dienstleistungen angewiesen sind, und, soweit möglich, einer verhältnismäßigen sektorübergreifenden Vertretung Rechnung tragen. Bei der Wahrnehmung dieser Aufgabe sollte sich die federführende Überwachungsbehörde auf die Informationen stützen, die von den zuständigen Behörden im Rahmen der Einstufung der kritischen IKT-Drittdienstleister bereitgestellt werden, einschließlich der Informationen, die für alle in der Delegierten Verordnung (EU) 2024/1502 der Kommission ² festgelegten Unterkriterien erforderlich sind, und die Kritikalität der kritischen IKT-Drittdienstleister für die Erbringung bestimmter Finanzdienstleistungen sowohl auf Ebene der Mitgliedstaaten als auch auf Unionsebene berücksichtigen.

(6) Um sicherzustellen, dass die Struktur und die Zusammensetzung der gemeinsamen Untersuchungsteams ihren Zweck erfüllen, und um die Effizienz und Wirksamkeit des Überwachungsrahmens dauerhaft zu gewährleisten, sollten die federführende Überwachungsbehörde und die Mitglieder der gemeinsamen Untersuchungsteams die Ergebnisse der gemeinsamen Untersuchungsteams regelmäßig bewerten. Die federführende Überwachungsbehörde und die benennenden Behörden sollten diese Bewertungen nutzen, um sich zu vergewissern, ob die Mitglieder der gemeinsamen Untersuchungsteams noch in der Lage sind, ihre Aufgaben zu erfüllen, und die Besetzung der gemeinsamen Untersuchungsteams gegebenenfalls zu verändern.

(7) Um sicherzustellen, dass die Mitglieder der gemeinsamen Untersuchungsteams als Team arbeiten und die Überwachungstätigkeiten konsistent durchgeführt werden, sollten die ESA die Überwachungsverfahren festlegen, die von den Mitgliedern der gemeinsamen Untersuchungsteams und dem Koordinator der federführenden Überwachungsbehörde bei der Wahrnehmung ihrer Aufgaben zu befolgen sind.

(8) Da die Überwachungsaufgaben die Verarbeitung vertraulicher Informationen umfassen, sollte die federführende Überwachungsbehörde den Mitgliedern des gemeinsamen Untersuchungsteams nach dem Grundsatz "Kenntnis nur, wenn nötig" und innerhalb des festgelegten Umfangs ihrer Aufgaben Zugang zu diesen Informationen und den zugehörigen IT-Ressourcen (einschließlich Tools, Anwendungen und Datensätzen) und Nicht-IT-Ressourcen (einschließlich Leitlinien, Verfahren und Dokumentationen) gewähren, wenn dies erforderlich ist, damit die Mitglieder des gemeinsamen Untersuchungsteams die federführende Überwachungsbehörde bei der Erfüllung ihrer gesetzlichen Funktionen oder Aufgaben unterstützen können. Wenn zwischen der federführenden Überwachungsbehörde und den zuständigen Behörden im Einklang mit der Delegierten Verordnung (EU) 2024/1505 der Kommission ³ Vereinbarungen zur Umsetzung dieser Verordnung festgelegt werden, um die ordnungsgemäße Finanzierung der Kosten sicherzustellen, die im Zusammenhang mit den von den benennenden Behörden bereitgestellten Ressourcen entstehen, sollte die federführende Überwachungsbehörde in diese Vereinbarungen einen Abschnitt aufnehmen, in dem das Verfahren für die Erstattung der direkten und der indirekten Kosten aller benennenden Behörden festgelegt wird, die an den gemeinsamen Untersuchungsteams beteiligt sind. Um eine transparente und vertrauenswürdige Durchführung der Überwachungstätigkeiten zu gewährleisten, sollte mit diesen Vereinbarungen ferner sichergestellt werden, dass die Mitglieder der gemeinsamen Untersuchungsteams bei der Wahrnehmung ihrer Aufgaben frei von Interessenkonflikten sind.

(9) Diese Verordnung beruht auf dem Entwurf technischer Regulierungsstandards, den die Europäische Bankenaufsichtsbehörde, die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung und die Europäische Wertpapier- und Marktaufsichtsbehörde der Europäischen Kommission vorgelegt haben.

(10) Der in Artikel 54 der Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates ⁴, in Artikel 54 der Verordnung (EU) Nr. 1094/2010 des Europäischen Parlaments und des Rates ⁵ und in Artikel 54 der Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates ⁶ genannte Gemeinsame Ausschuss der Europäischen Aufsichtsbehörden hat zu diesem Entwurf technischer Regulierungsstandards, auf dem die vorliegende Verordnung beruht, öffentliche Konsultationen durchgeführt, die damit verbundenen Kosten- und Nutzeneffekte analysiert und die Stellungnahme der nach Artikel 37 der Verordnung (EU) Nr. 1093/2010 eingesetzten Interessengruppe Bankensektor, der nach Artikel 37 der Verordnung (EU) Nr. 1094/2010 eingesetzten Interessengruppe Versicherung und Rückversicherung und der nach Artikel 37 der Verordnung (EU) Nr. 1095/2010 eingesetzten Interessengruppe Wertpapiere und Wertpapiermärkte eingeholt

- hat folgende Verordnung erlassen:

Artikel 1 Aufgaben der Mitglieder des gemeinsamen Untersuchungsteams

(1) Die Mitglieder des gemeinsamen Untersuchungsteams nehmen ihre Aufgaben unter der Koordinierung des Koordinators der federführenden Überwachungsbehörde wahr. Diese Aufgaben umfassen die laufende Unterstützung der von der federführenden Überwachungsbehörde durchgeführten Tätigkeiten und die Ausführung besonderer Aufgaben. Zu diesen Aufgaben gehören:

1. die federführende Überwachungsbehörde bei der Vorbereitung und Erstellung des in Artikel 33 Absatz 4 der Verordnung (EU) 2022/2554 genannten individuellen jährlichen Überwachungsplans zu unterstützen;
2. die federführende Überwachungsbehörde bei der Durchführung der in Artikel 33 Absatz 2 der Verordnung (EU) 2022/2554 genannten Bewertung zu unterstützen;
3. die Informationen zu bewerten, die die federführende Überwachungsbehörde von dem kritischen IKT-Drittdienstleister gemäß Artikel 37 der Verordnung (EU) 2022/2554 und Kapitel II der Delegierten Verordnung (EU) 2025/295 der Kommission ⁷ erhalten hat;
4. allgemeine Untersuchungen zu den in Artikel 38 der Verordnung (EU) 2022/2554 genannten kritischen IKT-Drittdienstleistern durchzuführen;
5. die in Artikel 39 Absatz 1 der Verordnung (EU) 2022/2554 genannten Inspektionen durchzuführen;
6. die in Artikel 35 Absatz 1 Buchstabe d der Verordnung (EU) 2022/2554 genannten Empfehlungen auszuarbeiten;
7. den Plan mit Abhilfemaßnahmen und die Fortschrittsberichte nach Artikel 4 der Delegierten Verordnung (EU) 2025/295 zu bewerten;
8. die in Artikel 35 Absatz 6, Artikel 37 Absatz 1, Artikel 38 Absatz 4 und Artikel 39 Absatz 6 der Verordnung (EU) 2022/2554 genannten Ersuchen und Beschlüsse vorzubereiten und auszuarbeiten;
9. die federführende Überwachungsbehörde bei ihrem Beitrag zu horizontalen Überwachungstätigkeiten, einschließlich bei der Ausarbeitung der in Artikel 32 Absatz 3 der Verordnung (EU) 2022/2554 genannten umfassenden Referenzwerte, zu unterstützen;
10. sicherzustellen, dass die einschlägigen Informationen über Finanzunternehmen, die die von kritischen IKT-Drittdienstleistern erbrachten Dienstleistungen in Anspruch nehmen, an die federführende Überwachungsbehörde weitergegeben werden;
11. die federführende Überwachungsbehörde bei ungeplanten Ad-hoc-Tätigkeiten zu unterstützen, die von der federführenden Überwachungsbehörde für die Zwecke der Überwachung für notwendig erachtet werden.

(2) Wenn die federführende Überwachungsbehörde den individuellen jährlichen Überwachungsplan im Laufe des Jahres erheblich überarbeitet, bezieht sie die Mitglieder des gemeinsamen Untersuchungsteams in die Durchführung des individuellen jährlichen Überwachungsplans und in dessen Überarbeitung mit ein.

Artikel 2 Einrichtung des gemeinsamen Untersuchungsteams

(1) Nach der ersten Einstufung eines IKT-Drittdienstleisters als kritisch gemäß Artikel 31 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 richtet die federführende Überwachungsbehörde im Einvernehmen mit dem in Artikel 34 Absatz 1 der Verordnung (EU) 2022/2554 genannten gemeinsamen Überwachungsnetz das gemeinsame Untersuchungsteam ein, das für die Durchführung der Überwachungstätigkeiten in Bezug auf diesen kritischen IKT-Drittdienstleister zuständig ist.

(2) Bei wesentlichen Änderungen im Hinblick auf die Situation des kritischen IKT-Drittdienstleisters kann die federführende Überwachungsbehörde im Einvernehmen mit dem gemeinsamen Überwachungsnetz die Zusammensetzung des gemeinsamen Untersuchungsteams, das für die Überwachungstätigkeiten in Bezug auf diesen kritischen IKT-Drittdienstleister zuständig ist, aktualisieren.

Zu diesem Zweck beziehen sich wesentliche Änderungen im Hinblick auf den kritischen IKT-Drittdienstleister auf Folgendes:

1. die von dem kritischen IKT-Drittdienstleister erbrachten Dienstleistungen;
2. die Tätigkeiten von Finanzunternehmen, die durch IKT-Dienstleistungen des kritischen IKT-Drittdienstleisters unterstützt werden;
3. die in Artikel 31 Absatz 9 der Verordnung (EU) 2022/2554 genannte Liste kritischer IKT-Drittdienstleister auf Unionsebene.

(3) Die in Artikel 40 Absatz 2 der Verordnung (EU) 2022/2554 genannten Behörden benennen aus ihrem Personal eine oder mehrere Personen, die zu Mitgliedern des gemeinsamen Untersuchungsteams ernannt werden. Eine Person kann als Mitglied eines oder mehrerer gemeinsamer Untersuchungsteams benannt und ernannt werden.

(4) Die federführende Überwachungsbehörde ernennt die zu Mitgliedern des gemeinsamen Untersuchungsteams benannten Personen je nach ihrer Verfügbarkeit, den spezifischen Bedürfnissen der federführenden Überwachungsbehörde und der Vereinbarung zwischen der benennenden Behörde und der federführenden Überwachungsbehörde entweder auf Vollzeit- oder Teilzeitbasis.

(5) Bei der Benennung der Mitglieder der gemeinsamen Untersuchungsteams bewerten die in Artikel 40 Absatz 2 der Verordnung (EU) 2022/2554 genannten Behörden ihr technisches Fachwissen, ihre Qualifikationen und Kompetenzen im Bereich IKT und einschlägigen Bereichen, einschließlich Kommunikations- und Kooperationsfähigkeiten, sowie ihre Audit- und Aufsichtsfähigkeiten.

(6) Die federführende Überwachungsbehörde kann von den benennenden Behörden nur in begründeten Fällen und nur dann verlangen, dass sie ihre Benennungen ändern, wenn die Profile der benannten Personen nicht dem Profil der benötigten Ressourcen entsprechen.

(7) Die federführende Überwachungsbehörde und die Behörden ergreifen alle geeigneten und möglichen Maßnahmen, um sicherzustellen, dass das gemeinsame Untersuchungsteam entsprechend dem jährlichen individuellen Überwachungsplan angemessen besetzt ist.

Artikel 3 Mitglieder des gemeinsamen Untersuchungsteams

(1) Die federführende Überwachungsbehörde legt die Zahl der Mitglieder des gemeinsamen Untersuchungsteams und dessen Zusammensetzung im Einvernehmen mit dem in Artikel 34 Absatz 1 der Verordnung (EU) 2022/2554 genannten gemeinsamen Überwachungsnetz und in Absprache mit dem in Artikel 32 Absatz 1 dieser Verordnung genannten Überwachungsforum fest.

(2) Die federführende Überwachungsbehörde legt diese Zahl im Rahmen des Prozesses zur Einrichtung des gemeinsamen Untersuchungsteams und gemäß dem Bedarf im Laufe der Zeit fest, wobei Folgendes berücksichtigt wird:

1. die Aufgaben, die in den individuellen jährlichen Überwachungsplänen für jeden vom gemeinsamen Untersuchungsteam überwachten kritischen IKT-Drittdienstleister jeweils enthalten sind;
2. die strategischen Ziele des mehrjährigen Überwachungsplans, der für alle kritischen IKT-Drittdienstleister erstellt wird, die von allen gemeinsamen Untersuchungsteams überwacht werden.

(3) Bei der Festlegung der Zahl und der Zusammensetzung der Mitglieder des gemeinsamen Untersuchungsteams berücksichtigt die federführende Überwachungsbehörde mindestens alle folgenden Aspekte:

1. die geplante Intensität der Überwachungstätigkeiten, die in Bezug auf alle kritischen IKT-Drittanbieter durchzuführen sind;
2. die Größe und Komplexität des IKT-Drittdienstleisters, der vom gemeinsamen Untersuchungsteam und von den ESA als federführende Überwachungsbehörden überwacht wird;
3. den spezifischen, von der federführenden Überwachungsbehörde ermittelten individuellen Überwachungsbedarf für den spezifischen kritischen IKT-Drittdienstleister;
4. die Stabilität der Zusammensetzung des gemeinsamen Untersuchungsteams, damit ein ordnungsgemäßer Wissenserhalt gewährleistet ist;
5. die für die Ausführung der Aufgaben durch das gemeinsame Untersuchungsteam erforderlichen Kompetenzen unter Berücksichtigung der Anforderungen an technische und nichttechnische IKT-Kenntnisse;
6. die Mitgliedstaaten, in denen der kritische IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen der Finanzunternehmen erbringt, und die zuständigen Behörden, die die Finanzunternehmen beaufsichtigen, die diese Dienstleistungen in Anspruch nehmen;
7. die verschiedenen Arten sowie Größe und Anzahl der Finanzunternehmen, für die der kritische IKT-Drittdienstleister IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen erbringt;
8. die zuständigen Behörden, die die Finanzunternehmen beaufsichtigen, die am stärksten von den IKT-Dienstleistungen der kritischen IKT-Drittdienstleister abhängig sind;
9. eine verhältnismäßige sektorübergreifende Vertretung der benennenden Behörden des gemeinsamen Untersuchungsteams.

(4) Bei der Benennung von Mitgliedern des gemeinsamen Untersuchungsteams berücksichtigen die in Artikel 40 Absatz 2 der Verordnung (EU) 2022/2554 genannten Behörden mindestens Absatz 3 Buchstaben c, d, e, g und h.

Artikel 4 Änderung der Mitgliedschaft im gemeinsamen Untersuchungsteam

Die federführende Überwachungsbehörde bewertet in regelmäßigen Abständen oder bei Änderungen der federführenden Überwachungsbehörde oder bei wesentlichen Änderungen gemäß Artikel 2 Absatz 2 nach Absprache mit den Mitgliedern des gemeinsamen Untersuchungsteams die Ergebnisse der Mitglieder des gemeinsamen Untersuchungsteams. Sowohl die benennenden Behörden als auch die federführende Überwachungsbehörde verwenden die Ergebnisse dieser Bewertung, um zu entscheiden, ob eine Änderung der Mitgliedschaft im gemeinsamen Untersuchungsteam angemessen ist.

Artikel 5 Arbeitsvereinbarungen der Mitglieder des gemeinsamen Untersuchungsteams

(1) Die Mitglieder des gemeinsamen Untersuchungsteams nehmen ihre im individuellen jährlichen Überwachungsplan festgelegten Aufgaben mit der gebotenen Sachkenntnis, Sorgfalt und Gewissenhaftigkeit, unvoreingenommen und im Einklang mit den Anweisungen des Koordinators der federführenden Überwachungsbehörde nach Artikel 40 Absatz 2 Unterabsatz 2 der Verordnung (EU) 2022/2554 wahr.

(2) Bei der Wahrnehmung von Überwachungsaufgaben befolgen die Mitglieder des gemeinsamen Untersuchungsteams die von den Europäischen Aufsichtsbehörden gemeinsam ausgearbeiteten Überwachungsverfahren in Bezug auf die Durchführung der Überwachungstätigkeiten und alle einschlägigen operativen Bereiche, einschließlich Spezifikationen für den Einsatz von IT-Tools und -Ausrüstung und das Zeitmanagement.

(3) Die Mitglieder des gemeinsamen Untersuchungsteams befolgen die Spezifikationen und Anweisungen des Koordinators der federführenden Überwachungsbehörde nach Artikel 40 Absatz 2 Unterabsatz 2 der Verordnung (EU) 2022/2554 zum Umgang mit Informationen und Daten und halten die Vertraulichkeitsregelungen der Europäischen Aufsichtsbehörden ein.

(4) Die federführende Überwachungsbehörde und die benennenden Behörden treffen Vereinbarungen zur Umsetzung der in dieser Verordnung festgelegten Anforderungen, einschließlich Vereinbarungen über die aufgewendete Zeit und die geschätzten Kosten im Zusammenhang mit den Überwachungstätigkeiten des gemeinsamen Untersuchungsteams, Schulungen sowie soweit erforderlich ethische und verhaltensbezogene Erwägungen in Bezug auf die Rolle der Mitglieder des gemeinsamen Untersuchungsteams.

(5) Die federführende Überwachungsbehörde und die benennenden Behörden stellen sicher, dass die in Absatz 4 genannten Vereinbarungen rechtzeitig umgesetzt, überprüft und auf dem neuesten Stand gehalten werden.

Artikel 6 Inkrafttreten

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

Brüssel, den 16. Dezember 2024

ENDE