Source: EUR LEX
URL: L_202500420NL.json

{
  "url": "http://www.w3.org/1999/xhtml\"><!--",
  "content": "L_202500420NL.000101.fmx.xml Publicatieblad van de Europese Unie NL L-serie 2025/420 24.3.2025 GEDELEGEERDE VERORDENING (EU) 2025/420 VAN DE COMMISSIE van 16 december 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met technische reguleringsnormen tot nadere bepaling van de criteria voor het bepalen van de samenstelling van het gezamenlijke onderzoeksteam in verband met een evenwichtige participatie van functionarissen van de ETA’s en van de bevoegde autoriteiten, alsmede van hun aanwijzing, hun taken en hun werkafspraken (Voor de EER relevante tekst) DE EUROPESE COMMISSIE, Gezien het Verdrag betreffende de werking van de Europese Unie, Gezien Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 ( 1 ) , en met name artikel 41, lid 2, tweede alinea, Overwegende hetgeen volgt: (1) Het bij Verordening (EU) 2022/2554 ingestelde oversightkader moet gebaseerd zijn op een gestructureerde en voortdurende samenwerking tussen de Europese toezichthoudende autoriteiten (ETA’s) en de bevoegde autoriteiten via het oversightforum en de gezamenlijke onderzoeksteams. (2) De in artikel 40, lid 2, van Verordening (EU) 2022/2554 bedoelde autoriteiten moeten ervoor zorgen dat hun personeelsleden die moeten worden benoemd tot lid van het in artikel 40, lid 1, van die verordening bedoelde gezamenlijke onderzoeksteam, beschikken over de technische deskundigheid die vereist is voor de profielen die in de gezamenlijke onderzoeksteams nodig zijn. Als wordt aangetoond dat een autoriteit niet beschikt over personeel met de specifieke technische deskundigheid die in de gezamenlijke onderzoeksteams nodig is, moet de lead overseer dat beschouwen als een rechtvaardiging om de autoriteiten op dat moment te ontheffen van hun verplichting om personeelsleden voor de gezamenlijke onderzoeksteams aan te wijzen. In dat geval moet de autoriteit niettemin alles in het werk stellen om dat gebrek aan deskundigheid aan te pakken en haar capaciteiten te versterken om in het kader van de volgende oefening bij te dragen aan de gezamenlijke onderzoeksteams. (3) Personeelsleden van de in artikel 40, lid 2, van Verordening (EU) 2022/2554 bedoelde autoriteiten die zijn aangewezen als leden van een gezamenlijk onderzoeksteam als bedoeld in artikel 40, lid 1, van die verordening, moeten werknemers van de aanwijzende autoriteit blijven en dus onderworpen blijven aan de werktijden en vaste werklocaties die zijn opgenomen in hun arbeidsovereenkomst. (4) Om ervoor te zorgen dat de middelen zo doeltreffend mogelijk worden gebruikt bij de uitvoering van oversightactiviteiten, moeten leden van gezamenlijke onderzoeksteams deel kunnen uitmaken van meerdere gezamenlijke onderzoeksteams en oversight kunnen uitoefenen op meerdere kritieke derde aanbieders van ICT-diensten. Voor het aantal kritieke derde aanbieders van ICT-diensten dat aan een specifiek lid van het gezamenlijke onderzoeksteam moet worden toegewezen, en de totale personeelsbehoeften van de gezamenlijke onderzoeksteams, moet rekening houden met het risicoprofiel van de kritieke derde aanbieders van ICT-diensten en het beoogde niveau van intensiteit van de oversightactiviteiten. De mogelijkheid om oversight uit te oefenen op meerdere kritieke derde aanbieders van ICT-diensten wordt opgenomen in het strategische meerjarige oversightplan, dat de lead overseers waar nodig jaarlijks bijwerken, en weerspiegeld in het individuele jaarlijkse oversightplan. Om de betrouwbaarheid van de geplande en voortdurende inzet van personele middelen voor de gezamenlijke onderzoeksteams door de aanwijzende autoriteiten te waarborgen, moet de lead overseer zowel het gezamenlijk oversightnetwerk als het oversightforum raadplegen over het strategische meerjarige oversightplan. (5) De lead overseer moet een combinatie van criteria en beginselen toepassen bij het bepalen van het aantal personeelsleden in elk gezamenlijk onderzoeksteam en de daaruit voortvloeiende samenstelling. Gezien de uiteenlopende technologische en geografische voetafdruk en het gebruik door verschillende financiële entiteiten van kritieke derde aanbieders van ICT-diensten, moet in die criteria en beginselen rekening worden gehouden met de technische aard van de oversighttaken, de verschillende mate van afhankelijkheid van financiële entiteiten van de door de kritieke derde aanbieders van ICT-diensten verleende diensten, de geografische spreiding, de omvang en het aantal financiële entiteiten die van die diensten afhankelijk zijn en, waar mogelijk, een evenredige sectoroverschrijdende vertegenwoordiging. Bij de uitvoering van die taak moet de lead overseer zich baseren op de informatie die door de bevoegde autoriteiten is verstrekt in het kader van de aanwijzing van de kritieke derde aanbieders van ICT-diensten, met inbegrip van de informatie die nodig is voor alle subcriteria zoals vastgesteld in Gedelegeerde Verordening (EU) 2024/1502 van de Commissie ( 2 ) , en moet hij rekening houden met het kritieke karakter van de kritieke derde aanbieders van ICT-diensten voor de verlening van specifieke financiële diensten, zowel op het niveau van de lidstaten als op het niveau van de Unie. (6) Om ervoor te zorgen dat de structuur en de samenstelling van de gezamenlijke onderzoeksteams geschikt zijn voor het beoogde doel en om de efficiëntie en doeltreffendheid van het oversightkader continu te waarborgen, moeten de lead overseer en de leden van de gezamenlijke onderzoeksteams de prestaties van de gezamenlijke onderzoeksteams periodiek beoordelen. De lead overseer en de aanwijzende autoriteiten moeten deze beoordelingen gebruiken om te beoordelen of de leden van de gezamenlijke onderzoeksteams nog steeds geschikt zijn om hun taken uit te voeren en om waar nodig veranderingen door te voeren in de samenstelling van de gezamenlijke onderzoeksteams. (7) Om ervoor te zorgen dat de leden van de gezamenlijke onderzoeksteams als één team werken en dat de oversightactiviteiten op consistente wijze worden uitgevoerd, moeten de ETA’s specificeren welke oversightprocedures de leden van de gezamenlijke onderzoeksteams en de coördinator van de lead overseer bij de uitvoering van hun taken moeten volgen. (8) Aangezien de oversighttaken de verwerking van vertrouwelijke informatie omvatten, moet de lead overseer de leden van het gezamenlijke onderzoeksteam op een “need-to-know”-basis en binnen de gespecificeerde reikwijdte van hun opdrachten toegang verlenen tot dergelijke informatie en tot de bijbehorende IT-middelen (met inbegrip van instrumenten, toepassingen en datasets) en niet-IT-middelen (met inbegrip van beleid, procedures en documentatie), indien dat nodig is voor leden van het gezamenlijke onderzoeksteam om de lead overseer bij te staan bij de vervulling van zijn statutaire functies of taken. Bij het vaststellen van regelingen tussen de lead overseer en de bevoegde autoriteiten om deze verordening uit te voeren, in overeenstemming met Gedelegeerde Verordening (EU) 2024/1505 van de Commissie ( 3 ) , om te zorgen voor een passende financiering van de kosten in verband met de middelen die door de aanwijzende autoriteiten ter beschikking worden gesteld, moet de lead overseer in die regelingen een afdeling opnemen waarin de procedure voor de terugbetaling van de directe en indirecte kosten van alle bij de gezamenlijke onderzoeksteams betrokken aanwijzende autoriteiten wordt beschreven. Om een transparante en betrouwbare uitvoering van de oversightactiviteiten te waarborgen, moeten die regelingen er bovendien ook voor zorgen dat de leden van de gezamenlijke onderzoeksteams bij de uitvoering van hun taken vrij zijn van belangenconflicten. (9) Deze verordening is gebaseerd op de ontwerpen van technische reguleringsnormen die door de Europese Bankautoriteit, de Europese Autoriteit voor verzekeringen en bedrijfspensioenen en de Europese Autoriteit voor effecten en markten aan de Europese Commissie zijn voorgelegd. (10) Het Gemengd Comité van de Europese toezichthoudende autoriteiten als bedoeld in artikel 54 van Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad ( 4 ) , in artikel 54 van Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad ( 5 ) en in artikel 54 van Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad ( 6 ) heeft open publiek consultaties gehouden over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, heeft de mogelijke kosten en baten van die voorgestelde normen geanalyseerd en heeft het advies ingewonnen van de overeenkomstig artikel 37 van Verordening (EU) nr. 1093/2010 opgerichte Stakeholdergroep bankwezen, de overeenkomstig artikel 37 van Verordening (EU) nr. 1094/2010 opgerichte Stakeholdergroep verzekeringen en herverzekeringen en de overeenkomstig artikel 37 van Verordening (EU) nr. 1095/2010 opgerichte Stakeholdergroep effecten en markten, HEEFT DE VOLGENDE VERORDENING VASTGESTELD: Artikel 1 Taken van de leden van het gezamenlijke onderzoeksteam 1.   De leden van het gezamenlijke onderzoeksteam voeren hun taken uit onder coördinatie van de coördinator van de lead overseer. Deze taken omvatten de permanente ondersteuning van de door de lead overseer uitgevoerde activiteiten en de uitvoering van specifieke taken. Deze taken zijn: a) de lead overseer bijstaan bij het voorbereiden en opstellen van het individuele jaarlijkse oversightplan als bedoeld in artikel 33, lid 4, van Verordening (EU) 2022/2554; b) de lead overseer bijstaan bij het uitvoeren van de in artikel 33, lid 2, van Verordening (EU) 2022/2554 bedoelde beoordeling; c) de informatie beoordelen die de leidende toezichthouder van de kritieke derde aanbieder van ICT-diensten heeft verkregen uit hoofde van artikel 37 van Verordening (EU) 2022/2554 en hoofdstuk II van Gedelegeerde Verordening (EU) 2025/295 van de Commissie ( 7 ) ; d) de in artikel 38 van Verordening (EU) 2022/2554 bedoelde algemene onderzoeken bij de kritieke derde aanbieders van ICT-diensten verrichten; e) de in artikel 39, lid 1, van Verordening (EU) 2022/2554 bedoelde inspecties verrichten; f) de in artikel 35, lid 1, punt d), van Verordening (EU) 2022/2554 bedoelde aanbevelingen uitvaardigen; g) het saneringsplan en de voortgangsverslagen als bedoeld in artikel 4 van Gedelegeerde Verordening (EU) 2025/295 beoordelen; h) de in artikel 35, lid 6, artikel 37, lid 1, artikel 38, lid 4, en artikel 39, lid 6, van Verordening (EU) 2022/2554 bedoelde verzoeken en besluiten voorbereiden en opstellen; i) de lead overseer bijstaan bij zijn bijdrage aan horizontale oversightactiviteiten, onder meer bij de ontwikkeling van de alomvattende benchmarks als bedoeld in artikel 32, lid 3, van Verordening (EU) 2022/2554; j) ervoor zorgen dat de relevante informatie over financiële entiteiten die gebruikmaken van de door kritieke derde aanbieders van ICT-diensten verleende diensten, wordt gedeeld met de lead overseer; k) de lead overseer bijstaan bij niet-geplande ad-hocactiviteiten die door de lead overseer noodzakelijk worden geacht met het oog op het oversight. 2.   Wanneer de lead overseer het individuele jaarlijkse oversightplan in de loop van het jaar aanzienlijk herziet, betrekt hij de leden van het gezamenlijke onderzoeksteam bij de uitvoering van het individuele jaarlijkse oversightplan en bij de herziening daarvan. Artikel 2 Oprichting van het gezamenlijke onderzoeksteam 1.   Nadat een derde aanbieder van ICT-diensten voor het eerst als cruciaal is aangemerkt overeenkomstig artikel 31, lid 1, punt a), van Verordening (EU) 2022/2554, richt de lead overseer, in overleg met het in artikel 34, lid 1, van Verordening (EU) 2022/2554 bedoelde gezamenlijk oversightnetwerk, het gezamenlijke onderzoeksteam op dat verantwoordelijk is voor de uitoefening van de oversightactiviteiten met betrekking tot die kritieke derde aanbieder van ICT-diensten. 2.   Wanneer zich wezenlijke veranderingen met betrekking tot de situatie van de kritieke derde aanbieder van ICT-diensten voordoen, kan de lead overseer, in overleg met het gezamenlijk oversightnetwerk, de samenstelling actualiseren van het gezamenlijke onderzoeksteam dat verantwoordelijk is voor de oversightactiviteiten betreffende die kritieke derde aanbieder van ICT-diensten. Daartoe hebben materiële wijzigingen met betrekking tot de kritieke derde aanbieder van ICT-diensten betrekking op: a) de diensten die de kritieke derde aanbieder van ICT-diensten aanbiedt; b) de activiteiten die worden uitgevoerd door financiële entiteiten die worden ondersteund door ICT-diensten van de kritieke derde aanbieder van ICT-diensten; c) de in artikel 31, lid 9, van Verordening (EU) 2022/2554 bedoelde lijst van kritieke derde aanbieders van ICT-diensten op het niveau van de Unie. 3.   De in artikel 40, lid 2, van Verordening (EU) 2022/2554 bedoelde autoriteiten wijzen een of meer van hun personeelsleden aan als lid van het gezamenlijke onderzoeksteam. Een persoon kan worden voorgedragen en benoemd tot lid van een of meer gezamenlijke onderzoeksteams. 4.   De lead overseer benoemt de personen die zijn voorgedragen als lid van het gezamenlijke onderzoeksteam, voltijds dan wel deeltijds, afhankelijk van hun beschikbaarheid, de specifieke behoeften van de lead overseer en de overeenkomst tussen de aanwijzende autoriteit en de lead overseer. 5.   Bij het voordragen van leden voor de gezamenlijke onderzoeksteams beoordelen de in artikel 40, lid 2, van Verordening (EU) 2022/2554 bedoelde autoriteiten hun technische deskundigheid, kwalificaties en vaardigheden op het gebied van ICT en relevante gebieden, met inbegrip van communicatie- en samenwerkingsvaardigheden, alsook audit- en toezichtvaardigheden. 6.   De lead overseer kan de aanwijzende autoriteiten alleen in gerechtvaardigde omstandigheden en wanneer de profielen van de voorgedragen personen niet overeenstemmen met het profiel van de benodigde middelen, verzoeken hun voordrachten te wijzigen. 7.   De lead overseer en de autoriteiten nemen alle passende en mogelijke maatregelen om ervoor te zorgen dat het gezamenlijke onderzoeksteam over voldoende personeel beschikt overeenkomstig het jaarlijkse individuele oversightplan. Artikel 3 Leden van het gezamenlijke onderzoeksteam 1.   De lead overseer bepaalt het aantal leden van het gezamenlijke onderzoeksteam en de samenstelling ervan in overleg met het in artikel 34, lid 1, van Verordening (EU) 2022/2554 bedoelde gezamenlijk oversightnetwerk en in overleg met het in artikel 32, lid 1, van die verordening bedoelde oversightforum. 2.   De lead overseer stelt dat aantal vast in het kader van de oprichting van het gezamenlijke onderzoeksteam, en zoals nodig in de loop van de tijd, rekening houdend met: a) de taken die zijn opgenomen in de individuele jaarlijkse oversightplannen die zijn opgesteld voor elke kritieke derde aanbieder van ICT-diensten waarvoor het gezamenlijke onderzoeksteam oversight verricht; b) de strategische doelstellingen van het meerjarige oversightplan dat is opgesteld voor alle kritieke derde aanbieders van ICT-diensten waarvoor door alle gezamenlijke onderzoeksteams oversightactiviteiten worden verricht. 3.   Om het aantal en de samenstelling van de leden van het gezamenlijke onderzoeksteam te bepalen, houdt de lead overseer ten minste rekening met al het volgende: a) het beoogde niveau van intensiteit van de met betrekking tot alle kritieke derde aanbieders van ICT-diensten uit te voeren oversightactiviteiten; b) de omvang en complexiteit van de derde aanbieder van ICT-diensten waarop oversight wordt verricht door het gezamenlijke onderzoeksteam en door de ETA’s als lead overseer; c) de specifieke individuele oversightbehoeften met betrekking tot de specifieke kritieke derde aanbieder van ICT-diensten, zoals beoordeeld door de lead overseer; d) de stabiliteit van de samenstelling van het gezamenlijke onderzoeksteam, waarbij ervoor wordt gezorgd dat de kennis naar behoren wordt bewaard; e) de vaardigheden die nodig zijn voor de uitvoering van de taken door het gezamenlijke onderzoeksteam, rekening houdend met de technische en niet-technische ICT-kennisvereisten; f) de lidstaten waar de kritieke derde aanbieder van ICT-diensten ICT-diensten verleent ter ondersteuning van kritieke of belangrijke functies van de financiële entiteiten, en de bevoegde autoriteiten die toezicht houden op de financiële entiteiten die van die diensten gebruikmaken; g) de verschillende soorten, omvang en aantallen financiële entiteiten waaraan de kritieke derde aanbieder van ICT-diensten ICT-diensten verleent ter ondersteuning van kritieke of belangrijke functies; h) de bevoegde autoriteiten die toezicht houden op de financiële entiteiten die het meest afhankelijk zijn van de ICT-diensten die door de cruciale derde aanbieders van ICT-diensten worden verleend; i) een evenredige sectoroverschrijdende vertegenwoordiging van de aanwijzende autoriteiten van het gezamenlijke onderzoeksteam. 4.   Bij het voordragen van leden van het gezamenlijke onderzoeksteam houden de in artikel 40, lid 2, van Verordening (EU) 2022/2554 bedoelde autoriteiten ten minste rekening met lid 3, punten c), d), e), g) en h). Artikel 4 Wijziging van de samenstelling van het gezamenlijke onderzoeksteam Periodiek, of wanneer de lead overseer verandert, of wanneer zich wezenlijke veranderingen als bedoeld in artikel 2, lid 2, voordoen, beoordeelt de lead overseer, na raadpleging van de leden van het gezamenlijke onderzoeksteam, de resultaten van de leden van het gezamenlijke onderzoeksteam. Zowel de aanwijzende autoriteiten als de lead overseer gebruiken de resultaten van die beoordeling om te beslissen of het passend is de samenstelling van het gezamenlijke onderzoeksteam te wijzigen. Artikel 5 Werkafspraken van de leden van het gezamenlijke onderzoeksteam 1.   De leden van het gezamenlijke onderzoeksteam voeren hun in het individuele jaarlijkse oversightplan vastgestelde taken uit met de nodige bekwaamheid, zorgvuldigheid en zorgvuldigheid, zonder vooringenomenheid en in overeenstemming met de instructies van de in artikel 40, lid 2, tweede alinea, van Verordening (EU) 2022/2554 bedoelde coördinator van de lead overseer. 2.   Bij het uitvoeren van oversighttaken volgen de leden van het gezamenlijke onderzoeksteam oversightprocedures die gezamenlijk door de Europese toezichthoudende autoriteiten zijn opgesteld met betrekking tot de uitvoering van oversightactiviteiten en alle relevante operationele gebieden, met inbegrip van specificaties met betrekking tot het gebruik van IT-instrumenten en -apparatuur en tijdbeheer. 3.   De leden van het gezamenlijke onderzoeksteam volgen de specificaties en instructies met betrekking tot de behandeling van informatie en gegevens die de coördinator van de lead overseer verstrekt als bedoeld in artikel 40, lid 2, tweede alinea, van Verordening (EU) 2022/2554 en houden zich aan de vertrouwelijkheidsregeling van de Europese toezichthoudende autoriteiten. 4.   De lead overseer en de aanwijzende autoriteiten stellen regelingen vast om de in deze verordening vastgestelde vereisten uit te voeren, met inbegrip van regelingen inzake de tijd die wordt besteed en de geraamde kosten voor de oversightactiviteiten van het gezamenlijke onderzoeksteam en voor opleiding, en inzake ethische en gedragsoverwegingen in verband met de rol van de leden van het gezamenlijke onderzoeksteam, indien van toepassing. 5.   De lead overseer en de aanwijzende autoriteiten zorgen ervoor dat de in lid 4 bedoelde regelingen tijdig worden uitgevoerd, herzien en bijgewerkt. Artikel 6 Inwerkingtreding Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie . Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat. Gedaan te Brussel, 16 december 2024. Voor de Commissie De voorzitter Ursula VON DER LEYEN ( 1 ) PB L 333 van 27.12.2022, blz. 1 , ELI: http://data.europa.eu/eli/reg/2022/2554/oj . ( 2 ) Gedelegeerde Verordening (EU) 2024/1502 van de Commissie van 22 februari 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad door nadere bepaling van de criteria om derde aanbieders van ICT-diensten als kritiek voor financiële entiteiten aan te wijzen ( PB L, 2024/1502, 30.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1502/oj ). ( 3 ) Gedelegeerde Verordening (EU) 2024/1505 van de Commissie van 22 februari 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad door de vaststelling van het bedrag van de door de lead overseer aan kritieke derde aanbieders van ICT-diensten aan te rekenen oversightvergoedingen en de wijze waarop die vergoedingen moeten worden betaald ( PB L, 2024/1505, 30.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1505/oj ). ( 4 ) Verordening (EU) nr. 1093/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Bankautoriteit), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/78/EG van de Commissie ( PB L 331 van 15.12.2010, blz. 12 , ELI: http://data.europa.eu/eli/reg/2010/1093/oj ). ( 5 ) Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Autoriteit voor verzekeringen en bedrijfspensioenen), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/79/EG van de Commissie ( PB L 331 van 15.12.2010, blz. 48 , ELI: http://data.europa.eu/eli/reg/2010/1094/oj ). ( 6 ) Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Autoriteit voor effecten en markten), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/77/EG van de Commissie ( PB L 331 van 15.12.2010, blz. 84 , ELI: http://data.europa.eu/eli/reg/2010/1095/oj ). ( 7 ) Gedelegeerde Verordening (EU) 2025/295 van de Commissie van 24 oktober 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met betrekking tot technische reguleringsnormen voor de harmonisatie van de voorwaarden voor de uitoefening van de oversightactiviteiten ( PB L, 2025/295, 13.2.2025, ELI: http://data.europa.eu/eli/reg_del/2025/295/oj ). ELI: http://data.europa.eu/eli/reg_del/2025/420/oj ISSN 1977-0758 (electronic edition)",
  "source": "EUR LEX"
}