IKT trešo pušu pakalpojumu sniedzēju pārvaldība

Saskaņā ar DORA prasībām, tirgus dalībniekam izmantojot ar trešo personu saistītu IKT pakalpojumu, tā dzīves ciklā ir nepieciešams veikt šādas darbības:

1. Pirms līguma slēgšanas:

1.1 Identificēt vai IKT pakalpojums atbalsta kritisku vai svarīgu funkciju, jeb tādu funkciju,  kuras traucējums būtiski pasliktinātu finanšu vienības finanšu darbības rezultātus, tās pakalpojumu nepārtrauktību vai saistību izpildi. Piemēram, maksājumu apstrāde un norēķini, mākoņinfrastruktūra, kas atbalsta pamatpakalpojumu, klientu datu apstrāde un glabāšana, ir uzskatāmi par IKT pakalpojumiem, kas atbalsta kritisku vai svarīgu funkciju. Slēdzot līgumu par šādu pakalpojumu ir papildu prasības.

1.2 Izvērtēt pakalpojuma sniedzēja reputāciju, pieredzi, piedāvātā pakalpojuma kvalitāti un atbilstību regulējuma prasībām, tajā skaitā kiberdrošības un darbības nepārtrauktības spējas (DORA 28(4) pants).

1.3 Identificēt un novērtēt darbības riskus (t.sk. kiberriskus, tehnoloģiskos, ģeopolitiskos, atbilstības riskus) un reputācijas riskus, ko iestādei rada  attiecīgās trešās puses pakalpojuma izmantošana.

2. Līgums un pakalpojuma uzsākšana:

2.1. Noteikt līgumā obligātās prasības (DORA 30. pants). Ja IKT pakalpojums atbalsta kritiski svarīgas vai svarīgas funkcijas, tad līgumā ietver RTS 2024/1773 prasības. Slēdzot līgumu var izmantot standartizētu līguma pielikumu, kas izstrādāts, ņemot vērā regulējuma prasības attiecībā uz noteikta veida pakalpojumiem. Līguma prasības attiecas arī uz tiem IKT pakalpojumiem, kuri tiek izmantoti finanšu grupas ietvaros.

Līgumā atbilstoši pakalpojuma veidam ir jāiekļauj:

• pakalpojuma apraksts un atbildības sadalījums;
• pakalpojuma kvalitātes, drošības un nepārtrauktības prasības (SLA);
• prasības datu apstrādei un aizsardzībai;
• incidentu risināšana;
• tiesības uzraudzīt un auditēt TPP;
• līguma izbeigšanas kārtība un datu atgriešana/iznīcināšana;
• iespējas alternatīvo pakalpojumu sniedzēju izvēlei un esošā pakalpojuma sniedzēja nomaiņai, ja līgums ar esošo trešo personu pakalpojumu sniedzēju tiek pārtraukts vai vairs nav iespējams saņemt attiecīgo pakalpojumu;
• iespējas pārņemt atpakaļ trešajai personai deleģētās funkcijas izpildi, ja tas ir nepieciešams vai vēlams.

2.2 Reģistrēt attiecīgo pakalpojumu iestādes trešo pušu IKT pakalpojumu sniedzēju reģistrā. Iestādei ir jāizveido un jāuztur aktuāls trešo pušu IKT pakalpojumu sniedzēju reģistrs (DORA 28(3). pants), kurā jāiekļauj dati par visu trešo pušu līgumiem. Reģistra struktūru veido ņemot vērā ITS 2024/2956, kā arī var izmantot LB piedāvāto Excel veidni. Iestādes uzturētā reģistra dati pēc pieprasījuma ir jāiesniedz uzraudzības iestādei.

2.3 Savlaicīgi informēt Latvijas Banku, ja paredzēts izmantot tādu IKT pakalpojumu, kas atbalsta kritiski svarīgas vai svarīgas iestādes funkcijas. Šādu būtisku pakalpojumu izmantošanas gadījumā tirgus dalībnieks savlaicīgi informē uzraudzības iestādi, 30 dienas pirms pakalpojuma  izmantošanas iesniedzot Latvijas Bankai vēstuli ar kuru informē par būtiska pakalpojuma izmantošanu,  pievienojot attiecīgā pakalpojuma aprakstu un risku novērtējumu.

2.4 Izstrādāt un uzturēt pakalpojuma izejas stratēģiju, ja esošais IKT pakalpojums atbalsta kritiski svarīgas vai svarīgas iestādes funkcijas. Izejas stratēģijā uzņēmums plāno, kā pats varētu nodrošināt attiecīgo pakalpojumu vai kādas ir darbības lai slēgtu līgumu ar citu TPP, ja līgums ar esošo TPP tiek pārtraukts vai vairs nav iespējas saņemt attiecīgo pakalpojumu.

3. IKT pakalpojuma izmantošana:

Tirgus dalībniekam ir pienākums regulāri pārraudzīt pakalpojuma sniedzēja darbību. Iestādei ir jānodrošina nepieciešamās kompetences un resursi, kā arī jāievieš procesi, lai tiktu:

• saņemta savlaicīga informācija par IKT incidentiem;
• nodrošināta regulāra pakalpojuma sniegšanas kvalitātes un drošības pārraudzība;
• periodiski pārskatīts esošais risku novērtējums un savlaicīgi identificēti jauni riski attiecīgā pakalpojuma saņemšanas kontekstā.

Eiropas Vērtspapīru un tirgu iestāde (ESMA) ir arī publicējusi pamatnostādnes par mākoņpakalpojumu izmantošanu. Vadlīniju mērķis ir palīdzēt tirgus dalibniekiem identificēt, risināt un uzraudzīt riskus, kas ir saistīti ar mākoņpakalpojumu izmantošanu.