Art.º 36 · Norma regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 7/2024-R — Avaliação dos riscos dos acordos de subcontratação de serviços de computação em nuvem

1 -As sociedades gestoras de fundos de pensões devem adotar uma abordagem proporcional à natureza, dimensão, escala e complexidade dos riscos inerentes aos serviços subcontratados a prestadores de serviços de computação em nuvem, a qual deve incluir a avaliação do potencial impacto dos acordos de subcontratação de serviços de computação em nuvem, em particular, nos seus riscos operacionais e reputacionais.
2 -Quando subcontratem funções ou atividades fundamentais ou importantes a prestadores de serviços de computação em nuvem, as sociedades gestoras de fundos de pensões devem:
1. a)Ter em conta os benefícios e custos esperados do acordo de subcontratação de serviços de computação em nuvem proposto, incluindo a ponderação de quaisquer riscos significativos que possam ser reduzidos ou mais bem geridos face a quaisquer riscos significativos que possam resultar do acordo de subcontratação proposto;
2. b)Avaliar, sempre que aplicável e adequado, os riscos, incluindo os riscos jurídicos, das TIC, de conformidade e de reputação, assim como as limitações de supervisão relacionadas com:
  1. i)O serviço de computação em nuvem selecionado e os modelos de implementação da nuvem propostos, designadamente pública, privada, híbrida ou comunitária;
  2. ii)A migração ou a implementação;
  3. iii)As atividades e os dados e sistemas associados que se pondere incluir no acordo de subcontratação, ou que já foram subcontratados, assim como a sua sensibilidade e as medidas de segurança necessárias;
  4. iv)A situação de estabilidade política e de segurança dos países, pertencentes e não pertencentes à União Europeia, em que os serviços subcontratados são ou podem ser prestados e em que os dados são, ou são suscetíveis de virem a ser, armazenados;
  5. v)A resubcontratação, incluindo os riscos adicionais que possam surgir se o subcontratante em cadeia estiver localizado num país terceiro ou num país diferente do prestador de serviços de computação em nuvem e o risco de que cadeias de subcontratação longas e complexas reduzam a capacidade da sociedade gestora de fundos de pensões para supervisionar as suas funções ou atividades fundamentais ou importantes e a capacidade da ASF para o exercício das suas funções de supervisão de forma eficaz;
  6. vi)O risco global de concentração quando várias sociedades gestoras de fundos de pensões celebram acordos de subcontratação com um mesmo prestador de serviços de computação em nuvem, incluindo os casos em que é celebrado um acordo com um prestador de serviços que não é facilmente substituível ou em que são celebrados vários acordos de subcontratação com um único prestador de serviços de computação em nuvem.
3 -Para efeitos do disposto na subalínea iv) da alínea b) do número anterior, devem ter-se em conta os seguintes elementos:
1. a)A legislação em vigor, incluindo em matéria de proteção de dados;
2. b)As normas de execução da lei em vigor;
3. c)A legislação em matéria de insolvência que seria aplicável em caso de incumprimento por um prestador de serviços e eventuais restrições relacionadas com a recuperação urgente dos dados das sociedades gestoras de fundos de pensões.
4 -Para efeitos do disposto na subalínea vi) da alínea b) do n.º 2 as sociedades gestoras de fundos de pensões ou os grupos devem ter em conta todos os seus acordos de subcontratação celebrados com o prestador de serviços de computação em nuvem em causa.
5 -A avaliação dos riscos a que se refere o presente artigo deve ser efetuada antes da celebração de um acordo de subcontratação de serviços de computação em nuvem.
6 -Se as sociedades gestoras de fundos de pensões tomarem conhecimento de deficiências graves ou de alterações significativas nos serviços prestados ou na situação do prestador de serviços de computação em nuvem, a avaliação dos riscos deve ser imediatamente revista ou novamente realizada.
7 -Em caso de reformulação de um acordo de subcontratação de serviços de computação em nuvem para modificar o seu conteúdo e o seu âmbito de aplicação, incluindo o alargamento do âmbito de aplicação ou a inclusão de funções ou atividades fundamentais ou importantes que não estavam anteriormente incluídas, deve ser efetuada uma reavaliação dos riscos.

Artigo 36.º — Avaliação dos riscos dos acordos de subcontratação de serviços de computação em nuvem

Histórico de Alterações

Referenciado por (1)