Aviação civil: novos requisitos de aeronavegabilidade adicionais

(1) Regulamento de Execução (UE) 2024/2954 da Comissão, de 29 de novembro de 2024, que altera o Regulamento (UE) 2015/640 no que respeita à introdução de novos requisitos de aeronavegabilidade adicionais [C/2024/8398]. JO L, 2024/2954, 2.12.2024, p. 1-20.

Considerandos (1) a (15),

(6) Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho, de 4 de julho de 2018, relativo a regras comuns no domínio da aviação civil, que cria a Agência da União Europeia para a Segurança da Aviação, altera os Regulamentos (CE) n.º 2111/2005, (CE) n.º 1008/2008, (UE) n.º 996/2010 e (UE) n.º 376/2014 e as Diretivas 2014/30/UE e 2014/53/UE do Parlamento Europeu e do Conselho, e revoga os Regulamentos (CE) n.º 552/2004 e (CE) n.º 216/2008 do Parlamento Europeu e do Conselho e o Regulamento (CEE) n.º 3922/91 do Conselho (Texto relevante para efeitos do EEE) [PE/2/2018/REV/1]. JO L 212 de 22.8.2018, p. 1-122. Versão consolidada atual: 01/12/2024

(7) Regulamento de Execução (UE) 2020/1159 da Comissão, de 5 de agosto de 2020, que altera o Regulamento (UE) n.º 1321/2014 e o Regulamento (UE) 2015/640 no que respeita à introdução de novos requisitos de aeronavegabilidade adicionais [C/2020/5277]. JO L 257 de 6.8.2020, p. 14-28.

(8) Regulamento de Execução (UE) 2022/1254 da Comissão, de 19 de julho de 2022, que altera o Regulamento (UE) 2015/640 no que diz respeito à introdução de novos requisitos adicionais em matéria de aeronavegabilidade (JO L 191 de 20.7.2022, p. 47, ELI: http://data.europa.eu/eli/reg_impl/2022/1254/oj).

(9) Parecer 05/2024, de 21 de junho de 2024, da Agência da União Europeia para a Segurança da Aviação, parte 26 — Sistemas de alimentação de combustível antichoque de helicópteros, Informações sobre as capacidades de proteção contra incêndios do compartimento de carga, Sistemas de alerta e de aviso em caso de ultrapassagem de pista, Conversão de compartimentos de classe D.

Modelo comum para o relatório sobre as informações relativas ao imposto sobre o rendimento das pessoas coletivas

Considerandos (1) a (15),

Artigo 1.º

Definições

Para efeitos do presente regulamento, entende-se por:

1) «Terceiro prestador direto de serviços de TIC», um terceiro prestador de serviços de TIC ou um prestador de serviços de TIC intragrupo que celebrou um acordo contratual com:

a) Uma entidade financeira, para prestar os seus serviços de TIC diretamente a essa entidade financeira;

b) Uma entidade financeira ou não financeira, para prestar os seus serviços a outras entidades financeiras do mesmo grupo;

2) «Cadeia de fornecimento de serviços de TIC», uma sequência de acordos contratuais relacionados com o serviço de TIC que o terceiro prestador direto de serviços de TIC presta à entidade financeira, começando pelo terceiro prestador direto de serviços de TIC que tem um ou mais terceiros prestadores de serviços de TIC na qualidade de contrapartes (subcontratantes);

3) «Classificação», a posição de um terceiro prestador de serviços de TIC na cadeia de fornecimento de serviços de TIC.

Artigo 2.º

Classificação dos terceiros prestadores de serviços de TIC na cadeia de fornecimento

As entidades financeiras atribuem uma classificação a cada terceiro prestador de serviços de TIC. A classificação deve ser qualquer número natural superior ou igual a «1», sendo que quanto menor for o número natural atribuído, maior a proximidade do acordo em relação à entidade financeira.

A classificação do terceiro prestador direto de serviços de TIC na cadeia de fornecimento de serviços de TIC deve ser sempre «1».

A classificação de um subcontratante na cadeia de fornecimento de serviços de TIC deve ser sempre superior a «1».

Artigo 3.º

Requisitos gerais aplicáveis aos modelos do registo de informações

1. As entidades financeiras utilizam os modelos constantes dos anexos I a IV para manter e atualizar o registo de informações em conformidade com o artigo 28.º, n.º 3, do Regulamento (UE) 2022/2554, a nível da entidade, ou a nível subconsolidado e consolidado.

2. As entidades financeiras asseguram que os modelos referidos no n.º 1 incluem o seguinte:

a) As informações pertinentes no que se refere a todos os serviços de TIC prestados por terceiros prestadores diretos de serviços de TIC;

b) Informações sobre todos os subcontratantes que sustentam serviços de TIC que apoiam funções críticas ou importantes ou partes materiais das mesmas.

3. As entidades financeiras asseguram que as informações contidas nos modelos a que se refere o n.º 1 são exatas e coerentes. As entidades financeiras reveem regularmente as informações contidas nos modelos e corrigem imediatamente quaisquer erros ou discrepâncias detetados.

No caso dos grupos, as entidades financeiras responsáveis pela manutenção e atualização do registo de informações a nível subconsolidado e consolidado asseguram que, na consolidação, as informações a nível da entidade estão corretas e são coerentes com as informações a nível subconsolidado e consolidado.

4. As entidades financeiras asseguram que as informações contidas nos modelos a que se refere o n.º 1 respeitam os seguintes princípios de qualidade dos dados:

a) Exatidão;

b) Exaustividade;

c) Coerência;

d) Integridade;

e) Uniformidade;

f) Validade.

5. As entidades financeiras utilizam um identificador de entidade jurídica (LEI) válido e ativo ou o identificador único europeu («EUID») a que se refere o artigo 16.º da Diretiva (UE) 2017/1132, e, quando disponíveis, ambos os identificadores, para identificar todos os seus terceiros prestadores de serviços de TIC que sejam pessoas coletivas, com exceção das pessoas singulares que atuam a título profissional.

6. Caso um serviço de TIC prestado por um terceiro prestador direto de serviços de TIC apoie uma função crítica ou importante das entidades financeiras, essas entidades financeiras asseguram, através do terceiro prestador direto de serviços de TIC, que todos os subcontratantes do terceiro prestador direto de serviços de TIC incluído no registo de informações nos termos do n.º 2, alínea b), que apoiem efetivamente serviços de TIC que apoiem funções críticas ou importantes, utilizam um LEI válido e ativo ou fornecem o seu EUID e, se disponíveis, ambos os identificadores, exceto se esses subcontratantes forem pessoas singulares que atuam a título profissional.

Artigo 4.º

Requisito relativo ao formato dos dados

1. Salvo disposição em contrário nas instruções, cada modelo que compõe o registo de informações consiste num quadro com um número predefinido de colunas e um número indefinido de linhas.

2. As entidades financeiras preenchem cada elemento de dados com um único valor. Se mais do que um valor for válido para um elemento de dados específico, as entidades financeiras devem acrescentar uma linha adicional ao modelo correspondente para cada valor válido.

3. As entidades financeiras completam todos os elementos de dados no registo de informações a nível da entidade e a nível subconsolidado e consolidado, conforme aplicável.

Artigo 5.º

Conteúdo do registo de informações

1. As entidades financeiras incluem no registo de informações, de acordo com as instruções constantes do anexo I, as seguintes informações:

a) Informações gerais sobre a entidade financeira que mantém e atualiza o registo de informações a nível da entidade, a nível subconsolidado e consolidado, respetivamente, conforme especificado no modelo B_01.01 do anexo I;

b) Informações gerais sobre as entidades abrangidas pela consolidação, conforme especificado no modelo B_01.02 do anexo I;

c) Identificação das sucursais de entidades financeiras situadas fora do país de origem indicado no modelo B_01.02, se aplicável, conforme especificado no modelo B_01.03 do anexo I;

d) Informações gerais sobre as disposições contratuais, conforme especificado no modelo B_02.01 do anexo I;

e) Informações específicas sobre os acordos contratuais, conforme especificado no modelo B_02.02 do anexo I;

f) Informações sobre as ligações entre os acordos contratuais intragrupo e os acordos contratuais com terceiros prestadores de serviços de TIC que não fazem parte do grupo, recorrendo aos números de referência dos acordos contratuais quando parte da cadeia de fornecimento de serviços de TIC é intragrupo, conforme especificado no modelo B_02.03 do anexo I;

g) Informações sobre as entidades que celebram os acordos contratuais com os terceiros prestadores diretos de serviços de TIC para a receção de serviços de TIC ou em nome das entidades que utilizam os serviços de TIC, conforme especificado no modelo B_03.01 do anexo I;

h) Identificação dos terceiros prestadores de serviços de TIC que celebram os acordos contratuais para a prestação de serviços de TIC, conforme especificado no modelo B_03.02 do anexo I;

i) Identificação das entidades que celebram os acordos contratuais para a prestação de serviços de TIC a outras entidades abrangidas pela consolidação, conforme especificado no modelo B_03.03 do anexo I;

j) Informações sobre as entidades que utilizam os serviços de TIC prestados pelos terceiros prestadores de serviços de TIC, conforme especificado no modelo B_04.01 do anexo I;

k) Informações sobre os terceiros prestadores diretos de serviços de TIC e os subcontratantes, conforme especificado no modelo B_05.01 do anexo I;

l) Informações sobre a cadeia de fornecimento de serviços de TIC, conforme especificado no modelo B_05.02 do anexo I;

m) Informações sobre a identificação das funções, conforme especificado no modelo B_06.01 do anexo I;

n) Informações sobre a avaliação dos serviços de TIC prestados por terceiros prestadores de serviços de TIC que apoiam uma função crítica ou importante ou partes materiais da mesma, conforme especificado no modelo B_07.01 do anexo I;

o) Informações sobre a terminologia utilizada pelas entidades financeiras e os termos incluídos nas listas fechadas e nos sistemas de classificação utilizados aquando do preenchimento dos modelos, conforme especificado no modelo B_99.01 do anexo I.

2. Sempre que pertinente para efeitos de gestão do risco ou de gestão dos contratos, as entidades financeiras podem incluir, no registo de informações, informações adicionais no formato mais adequado às mesmas.

Artigo 6.º

Âmbito do registo de informações a nível subconsolidado e consolidado

1. No caso dos grupos, as empresas-mãe têm em conta a legislação setorial pertinente da União ao determinar as entidades a incluir no registo de informações.

2. O registo de informações mantido e atualizado aos níveis subconsolidado e consolidado deve incluir todas as entidades financeiras e prestadores de serviços de TIC intragrupo que façam parte do subgrupo e do grupo.

Artigo 7.º

Entrada em vigor

O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

ANEXO I
Instruções para o preenchimento do registo de informações 

ANEXO II
Lista de atividades por tipo de entidade

Tipo de entidade | Lista de atividades e serviços

a) Instituições de crédito | Atividades enumeradas no anexo I da Diretiva 2013/36/UE e atividades enumeradas no anexo I, secções A e B, da Diretiva 2014/65/UE (...)

ANEXO III
Tipo de serviços de TIC

ANEXO IV
Instruções relativas à comunicação do «valor total dos ativos»

(2) Regulamento (UE) n.º 1093/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), altera a Decisão n.º 716/2009/CE e revoga a Decisão 2009/78/CE da Comissão. JO L 331 de 15.12.2010, p. 12-47. Versão consolidada atual (26/06/2021): 02010R1093 — PT — 26.06.2021 — 008.001/84.

(3) Regulamento (UE) n.º 1094/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma), altera a Decisão n. o  716/2009/CE e revoga a Decisão 2009/79/CE da Comissão. JO L 331 de 15.12.2010, p. 48-83. Versão consolidada atual: 01/01/2020

(4) (1) Regulamento (UE) n.º 1095/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Valores Mobiliários e dos Mercados), altera a Decisão n.º 716/2009/CE e revoga a Decisão 2009/77/CE da Comissão. JO L 331 de 15.12.2010, p. 84-119. Versão consolidada atual: 12/08/2022

(5) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (Texto relevante para efeitos do EEE) [PE/31/2018/REV/1]. JO L 295 de 21.11.2018, p. 39-98.

(6) Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE) n.º 909/2014 e (UE) 2016/1011 (Texto relevante para efeitos do EEE) [PE/41/2022/INIT]. JO L 333 de 27.12.2022, p. 1-79.

CAPÍTULO I

Disposições gerais

Artigo 1.º

Objeto

1. A fim de alcançar um elevado nível de resiliência operacional digital, o presente regulamento estabelece requisitos uniformes no que respeita à segurança dos sistemas de rede e informação que apoiam os processos operacionais das entidades financeiras, como se segue:

a) Requisitos aplicáveis às entidades financeiras em matéria de:

i) gestão do risco no domínio das tecnologias da informação e comunicação (TIC),

ii) notificação de incidentes de caráter severo relacionados com as TIC e notificação, numa base voluntária, de ciberameaças significativas às autoridades competentes,

iii) notificação de incidentes de caráter severo operacionais ou de segurança, relacionados com pagamentos, às autoridades competentes pelas entidades financeiras a que se refere o artigo 2.o, n.o 1, alíneas a) a d),

iv) realização de testes de resiliência operacional digital,

v) partilha de dados e informações sobre as ciberameaças e as vulnerabilidades,

vi) medidas para a boa gestão do risco associado às TIC devido a terceiros;

b) Requisitos referentes aos acordos contratuais celebrados entre terceiros prestadores de serviços de TIC e entidades financeiras;

c) Regras para o estabelecimento e execução do quadro de superintendência dos terceiros prestadores de serviços de TIC críticos na prestação desses serviços a entidades financeiras;

d) Regras de cooperação entre as autoridades competentes e regras de supervisão e execução pelas autoridades competentes em todas as matérias abrangidas pelo presente regulamento.

2. Quanto às entidades financeiras identificadas como entidades essenciais ou importantes nos termos das regras nacionais que transpõem o artigo 3.o da Diretiva (UE) 2022/2555, considera-se que o presente regulamento constitui um ato jurídico setorial da União para efeitos do artigo 4.o da referida diretiva.

3. O presente regulamento não prejudica a responsabilidade dos Estados-Membros no que diz respeito às funções essenciais do Estado respeitantes à segurança pública, à defesa e à segurança nacional, em conformidade com o direito da União.

Artigo 2.º

Âmbito

1. Sem prejuízo no disposto nos n.ºs 3 e 4, o presente regulamento é aplicável às seguintes entidades:

a) Instituições de crédito;

b) Instituições de pagamento, incluindo instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366;

c) Prestadores de serviços de informação sobre contas;

d) Instituições de moeda eletrónica, incluindo instituições de moeda eletrónica isentas nos termos da Diretiva 2009/110/CE;

e) Empresas de investimento;

f) Prestadores de serviços de criptoativos, autorizados nos termos de um regulamento do Parlamento Europeu e do Conselho relativo aos mercados de criptoativos, e que altera os Regulamentos (UE) n.º 1093/2010 e (UE) n.º 1095/2010 e as Diretivas 2013/36/UE e (UE) 2019/1937 (o «regulamento relativo aos mercados de criptoativos») e emitentes de criptofichas (tokens) referenciadas a ativos;

g) Centrais de valores mobiliários;

h) Contrapartes centrais;

i) Plataformas de negociação;

j) Repositórios de transações;

k) Gestores de fundos de investimento alternativos;

l) Sociedades gestoras;

m) Prestadores de serviços de comunicação de dados;

n) Empresas de seguros e de resseguros;

o) Mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório;

p) Instituições de realização de planos de pensões profissionais;

q) Agências de notação de risco;

r) Administradores de índices de referência críticos;

s) Prestadores de serviços de financiamento colaborativo;

t) Repositórios de titularizações;

u) Terceiros prestadores de serviços de TIC.

2. Para efeitos do presente regulamento, as entidades a que se refere o n.º 1, alíneas a) a t), são coletivamente referidas como «entidades financeiras».

3. O presente regulamento não se aplica a:

a) Gestores de fundos de investimento alternativos, a que se refere o artigo 3.º, n.º 2, da Diretiva 2011/61/UE;

b) Empresas de seguros e de resseguros, a que se refere o artigo 4.º, da Diretiva 2009/138/CE;

c) Instituições de realização de planos de pensões profissionais que gerem planos de pensões que, no seu conjunto, não tenham mais de 15 membros;

d) Pessoas singulares ou coletivas isentas nos termos dos artigos 2.º e 3.º da Diretiva 2014/65/UE;

e) Mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório que sejam microempresas ou pequenas ou médias empresas;

f) Instituições de cheques postais a que se refere o artigo 2.º, n.º 5, ponto 3, da Diretiva 2013/36/UE.

4. Os Estados-Membros podem excluir do âmbito de aplicação do presente regulamento as entidades a que se refere o artigo 2.º, n.º 5, pontos 4 a 23, da Diretiva 2013/36/UE que estejam situadas nos respetivos territórios. Sempre que um Estado-Membro recorrer a essa opção, informa do facto a Comissão, bem como de quaisquer alterações subsequentes. A Comissão disponibiliza essas informações ao público no seu sítio Web ou noutros meios facilmente acessíveis.

CAPÍTULO V

Gestão do risco associado às TIC devido a terceiros

Secção I

Princípios fundamentais para a boa gestão do risco associado às TIC devido a terceiros

Artigo 28.º

Princípios gerais

1. As entidades financeiras gerem o risco associado às TIC devido a terceiros como componente integrante do risco associado às TIC no âmbito do seu quadro de gestão do risco associado às TIC, tal como referido no artigo 6.º, n.º 1, e de acordo com os seguintes princípios:

a) As entidades financeiras que celebraram acordos contratuais relativos à utilização de serviços de TIC para gerir as suas operações comerciais mantêm sempre a responsabilidade pelo cumprimento e observância de todas as obrigações previstas no presente regulamento e no direito dos serviços financeiros aplicável;

b) A gestão do risco associado às TIC devido a terceiros por parte das entidades financeiras é efetuada em consonância com o princípio da proporcionalidade, tendo em conta:

i) a natureza, a dimensão, a complexidade e a importância das dependências relacionadas com as TIC,

ii) os riscos decorrentes dos acordos contratuais relativos à utilização de serviços de TIC celebrados com terceiros prestadores de serviços de TIC, tendo em conta a criticalidade ou a importância do respetivo serviço, processo ou função, bem como o impacto potencial na continuidade e na disponibilidade dos serviços e atividades financeiros, a nível individual e de grupo.

2. Para efeitos do seu quadro de gestão do risco associado às TIC, as entidades financeiras que não sejam as entidades a que se refere o artigo 16.º, n.º 1, primeiro parágrafo, nem microempresas adotam e revêm periodicamente uma estratégia em matéria de risco associado às TIC devido a terceiros, tendo em conta a estratégia com múltiplos fornecedores a que se refere o artigo 6.º, n.º 9, se for caso disso. A estratégia relativa ao risco associado às TIC devido a terceiros inclui uma política de utilização dos serviços de TIC, que apoiem funções críticas ou importantes, prestados por terceiros prestadores de serviços de TIC, e é aplicada numa base individual e, quando necessário, numa base subconsolidada e consolidada. O órgão de administração revê, com base numa avaliação do perfil de risco global da entidade financeira e da escala e complexidade dos serviços operacionais, periodicamente os riscos identificados no que diz respeito aos acordos contratuais relativas à utilização de serviços de TIC que apoiem funções críticas ou importantes.

3. Para efeitos do seu quadro de gestão do risco associado às TIC, as entidades financeiras mantêm e atualizam, ao nível da entidade e aos níveis subconsolidado e consolidado, um registo de informações em relação a todos os acordos contratuais relativos à utilização dos serviços TIC prestados por terceiros prestadores de serviços de TIC.

Os acordos contratuais referidos no primeiro parágrafo são devidamente documentados, estabelecendo uma distinção entre os que abrangem serviços TIC que apoiem funções críticas ou importantes e os que não abrangem esses tipos de funções.

As entidades financeiras comunicam pelo menos uma vez por ano às autoridades competentes o número de novos acordos contratuais relativos à utilização de serviços de TIC, as categorias de terceiros prestadores de serviços de TIC, o tipo de acordos contratuais, assim como os serviços de TIC que estão a ser prestados e as funções que estão a ser realizadas.

As entidades financeiras disponibilizam à autoridade competente, a pedido desta, o registo de informações completo ou, se solicitado, secções desse registo, juntamente com as informações consideradas necessárias para permitir uma supervisão eficaz da entidade financeira.

As entidades financeiras informam atempadamente a autoridade competente sobre qualquer acordo contratual planeado para a utilização de serviços de TIC que apoiem funções críticas ou importantes, bem como quando uma determinada função passar a ser crítica ou importante.

4. Antes de celebrar um acordo contratual relativo à utilização de serviços de TIC, as entidades financeiras:

a) Avaliam se o acordo contratual abrange a utilização de serviços de TIC que apoiem uma função crítica ou importante;

b) Avaliam se as condições de supervisão relativamente à subcontratação estão satisfeitas;

c) Identificam e avaliam todos os riscos relevantes em relação ao acordo contratual, nomeadamente a possibilidade de esse acordo poder contribuir para reforçar o risco de concentração no domínio das TIC, a que se refere o artigo 29.º;

d) Efetuam todas as diligências devidas quanto aos potenciais terceiros prestadores de serviços de TIC e asseguram que, ao longo dos processos de seleção e avaliação, o terceiro prestador de serviços de TIC é adequado;

e) Identificam e avaliam os conflitos de interesses que possam decorrer do acordo contratual.

5. As entidades financeiras só podem celebrar acordos contratuais com terceiros prestadores de serviços de TIC que cumpram normas de segurança da informação adequadas. Quando os acordos contratuais dizem respeito a funções críticas ou importantes, as entidades financeiras atendem, antes da celebração dos acordos, devidamente ao respeito, pelos terceiros prestadores de serviços de TIC, das normas mais atualizadas e mais rigorosas em matéria de segurança da informação.

6. Ao exercer direitos de acesso, inspeção e auditoria sobre o terceiro prestador de serviços de TIC, as entidades financeiras predeterminam, em função de uma abordagem baseada no risco, a frequência das auditorias e das inspeções e as áreas a auditar, aderindo a normas de auditoria comummente aceites em consonância com qualquer instrução de supervisão sobre a utilização e incorporação dessas normas de auditoria.

Quando os acordos contratuais celebrados com terceiros prestadores de serviços de TIC para a utilização de serviços de TIC impliquem um nível elevado de complexidade técnica, a entidade financeira verifica se os auditores, sejam eles internos ou externos, ou um grupo de auditores, possuem as aptidões e os conhecimentos adequados para realizar eficazmente as auditorias e as avaliações pertinentes.

7. As entidades financeiras asseguram que os acordos contratuais relativos à utilização de serviços de TIC possam ser rescindidos em qualquer uma das seguintes circunstâncias:

a) Violação significativa pelo terceiro prestador de serviços de TIC da legislação, regulamentação ou das condições contratuais aplicáveis;

b) Circunstâncias identificadas aquando da monitorização do risco associado às TIC devido a terceiros que sejam consideradas como passíveis de alterar o desempenho das funções realizadas através do acordo contratual, nomeadamente alterações materiais que afetem o acordo contratual ou a situação do terceiro prestador de serviços de TIC;

c) Debilidades comprovadas do terceiro prestador de serviços de TIC que se prendem com a sua gestão global do risco associado às TIC e, em particular, qualquer deficiência na forma como garante a disponibilidade, autenticidade, integridade e confidencialidade dos dados, pessoais ou sensíveis ou dos dados não pessoais;

d) Quando a autoridade competente deixar de poder supervisionar eficazmente a entidade financeira em resultado das condições ou das circunstâncias relacionadas com o acordo contratual respetivo.

8. No que respeita aos serviços de TIC que apoiem funções críticas ou importantes, as entidades financeiras preveem estratégias de saída. As estratégias de saída têm em conta riscos que possam surgir a nível dos terceiros prestadores de serviços de TIC, em especial uma possível falha destes, uma deterioração da qualidade dos serviços de TIC prestados, qualquer perturbação das atividades devido a falha ou desadequação da prestação dos serviços de TIC ou qualquer risco material relacionado com o desempenho adequado e contínuo do respetivo serviço de TIC, ou em caso de rescisão dos acordos contratuais com os terceiros prestadores de serviços de TIC em qualquer das circunstâncias enumeradas no n.º 7.

As entidades financeiras asseguram poder rescindir acordos contratuais sem:

a) Perturbação das suas atividades operacionais;

b) Limitação da observância dos requisitos regulamentares;

c) Prejuízo para a continuidade e a qualidade dos serviços prestados aos clientes.

Os planos de saída devem ser abrangentes, documentados e, em conformidade com os critérios estabelecidos no artigo 4.º, n.º 2, devem ser suficientemente testados e regularmente revistos.

As entidades financeiras identificam soluções alternativas e desenvolvem planos de transição que lhes permitam eliminar os serviços de TIC subcontratados e os dados pertinentes junto do terceiro prestador de serviços de TIC e transferi-los em segurança e na íntegra para prestadores de serviços alternativos ou reincorporá-los internamente.

As entidades financeiras preveem medidas de contingência adequadas para manter a continuidade do negócio caso ocorram as circunstâncias a que se refere o primeiro parágrafo.

9. As AES desenvolvem, através do Comité Conjunto, projetos de normas técnicas de execução por forma a criar modelos normalizados para fins do registo de informações a que se refere o n.º 3, incluindo informações que sejam comuns a todos os acordos contratuais relativos à utilização de serviços de TIC. As AES apresentam esses projetos de normas técnicas de execução à Comissão até 17 de janeiro de 2024.

É conferido à Comissão o poder de adotar as normas técnicas de execução a que se refere o primeiro parágrafo, nos termos do artigo 15.º dos Regulamentos (UE) n.º 1093/2010, (UE) n.º 1094/2010 e (UE) n.º 1095/2010.

10. As AES elaboram, através do Comité Conjunto, projetos de normas técnicas de regulamentação para especificar mais pormenorizadamente o conteúdo detalhado da política a que se refere o n.º 2 em relação aos acordos contratuais relativos à utilização de serviços de TIC que apoiem funções críticas ou importantes prestados por terceiros prestadores de serviços de TIC.

Ao elaborarem esses projetos de normas técnicas de regulamentação, as AES têm em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações. As AES apresentam esses projetos de normas técnicas de regulamentação à Comissão até 17 de janeiro de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o primeiro parágrafo, nos termos dos artigos 10.º a 14.º dos Regulamentos (UE) n.º 1093/2010, (UE) n.º 1094/2010 e (UE) n.º 1095/2010.

Segurança geral dos produtos: indicadores de realização pertinentes