Art.º 36 · Norma regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 6/2022-R — Avaliação dos riscos dos acordos de subcontratação de serviços de computação em nuvem

1 -As empresas de seguros e de resseguros devem adotar uma abordagem proporcional à natureza, dimensão e complexidade dos riscos inerentes aos serviços subcontratados a prestadores de serviços de computação em nuvem, a qual deve incluir a avaliação do potencial impacto dos acordos de subcontratação de serviços de computação em nuvem, em particular, nos seus riscos operacionais e reputacionais.
2 -Quando subcontratem funções ou atividades operacionais fundamentais ou importantes a prestadores de serviços de computação em nuvem, as empresas de seguros e de resseguros devem:
1. a)Ter em conta os benefícios e custos esperados do acordo de subcontratação de serviços de computação em nuvem proposto, incluindo a ponderação de quaisquer riscos significativos que possam ser reduzidos ou mais bem geridos face a quaisquer riscos significativos que possam resultar do acordo de subcontratação proposto;
2. b)Avaliar, sempre que aplicável e adequado, os riscos, incluindo os riscos jurídicos, das TIC, de conformidade e de reputação, assim como as limitações de supervisão relacionadas com:
  1. i)O serviço de computação em nuvem selecionado e os modelos de implementação da nuvem propostos, designadamente pública, privada, híbrida ou comunitária;
  2. ii)A migração ou a implementação;
  3. iii)As atividades e os dados e sistemas associados que se pondere incluir no acordo de subcontratação, ou que já foram subcontratados, assim como a sua sensibilidade e as medidas de segurança necessárias;
  4. iv)A situação de estabilidade política e de segurança dos países, pertencentes e não pertencentes à União Europeia, em que os serviços subcontratados são ou podem ser prestados e em que os dados são, ou são suscetíveis de virem a ser, armazenados;
  5. v)A subcontratação em cadeia, incluindo os riscos adicionais que possam surgir se o subcontratante em cadeia estiver localizado num país terceiro ou num país diferente do prestador de serviços de computação em nuvem e o risco de que cadeias de subcontratação longas e complexas reduzam a capacidade da empresa para supervisionar as suas funções ou atividades operacionais fundamentais ou importantes e a capacidade da ASF para o exercício das suas funções de supervisão de forma eficaz;
  6. vi)O risco global de concentração quando várias empresas de seguros e de resseguros celebram acordos de subcontratação com um mesmo prestador de serviços de computação em nuvem, incluindo os casos em que é celebrado um acordo com um prestador de serviços que não é facilmente substituível ou em que são celebrados vários acordos de subcontratação com um único prestador de serviços de computação em nuvem.
3 -Para efeitos do disposto na subalínea iv) da alínea b) do número anterior, devem ter-se em conta os seguintes elementos:
1. a)A legislação em vigor, incluindo em matéria de proteção de dados;
2. b)As normas de execução da lei em vigor;
3. c)A legislação em matéria de insolvência que seria aplicável em caso de incumprimento por um prestador de serviços e eventuais restrições relacionadas com a recuperação urgente dos dados das empresas de seguros e de resseguros.
4 -Para efeitos do disposto na subalínea vi) da alínea b) do n.º 2 as empresas de seguros e de resseguros ou os grupos devem ter em conta todos os seus acordos de subcontratação celebrados com o prestador de serviços de computação em nuvem em causa.
5 -A avaliação dos riscos a que se refere o presente artigo deve ser efetuada antes da celebração de um acordo de subcontratação de serviços de computação em nuvem.
6 -Se as empresas de seguros e de resseguros tomarem conhecimento de deficiências graves ou de alterações significativas nos serviços prestados ou na situação do prestador de serviços de computação em nuvem, a avaliação dos riscos deve ser imediatamente revista ou novamente realizada.
7 -Em caso de reformulação de um acordo de subcontratação de serviços de computação em nuvem para modificar o seu conteúdo e o seu âmbito de aplicação, incluindo o alargamento do âmbito de aplicação ou a inclusão de funções operacionais fundamentais ou importantes que não estavam anteriormente incluídas, deve ser efetuada uma reavaliação dos riscos.

Artigo 36.º — Avaliação dos riscos dos acordos de subcontratação de serviços de computação em nuvem

Histórico de Alterações

Referenciado por (1)