Velká Británie oficiálně označila čtyři technologické giganty za kritické třetí strany pro svůj finanční systém

Dne 10. července 2026 britské ministerstvo financí (HM Treasury) oficiálně označilo čtyři poskytovatele cloudových služeb za kritické třetí strany (CTP) v rámci režimu zřízeného zákonem Financial Services and Markets Act 2023. Označení nabývá účinnosti 13. července 2026 . Těmito subjekty jsou:

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

Jedná se o první případ, kdy Spojené království využilo své nové zákonné pravomoci k tomu, aby externí poskytovatele technologií podřídilo přímému dohledu finančních regulátorů. Vláda uvedla, že tato opatření „pomohou snížit riziko rozsáhlých narušení" a že v rámci kontinuálního režimu mohou být v průběhu času označeni další poskytovatelé .

Proč režim vznikl: riziko koncentrace v cloudových službách

Politické zdůvodnění vychází ze závěru Výboru pro finanční politiku (FPC) z roku 2021, který varoval, že rostoucí závislost na malém počtu cloudových providerů pro zásadní služby by mohla zvýšit rizika pro finanční stabilitu, pokud by nebyl zaveden přímější regulatorní dohled . Režim CTP je navržen právě k řešení tohoto problému, přičemž regulátoři používají kritéria koncentrace a materiality k identifikaci a doporučení CTP ministerstvu financí .

Jaké nové pravomoci mají Bank of England, PRA a FCA?

Zákon Financial Services and Markets Act 2023 vložil novou kapitolu 3C do části XVIII zákona FSMA 2000, čímž udělil Bank of England, Prudential Regulation Authority (PRA) a Financial Conduct Authority (FCA) – souhrnně označovaným jako „regulátoři" – nový soubor přímých dozorčích pravomocí nad označenými CTP . Patří sem:

• Pravomoc tvořit pravidla – Každý regulátor může ukládat CTP povinnosti v souvislosti se službami, které poskytují finančním firmám, pokud je to nezbytné k prosazování jeho zákonných cílů .
• Pravomoc vydávat příkazy – Regulátor může CTP nařídit, aby něco udělala, nebo se naopak zdržela určité činnosti. Pokud příkaz řeší hrozbu pro stabilitu nebo integritu britského finančního systému, požívají CTP a její vedoucí pracovníci a zaměstnanci imunitu vůči nárokům na náhradu škody za jednání v souladu s příkazem .
• Shromažďování informací a prověrky kvalifikovanými osobami – Regulátoři mohou od CTP vyžadovat poskytnutí informací a zadávat zprávy vypracované kvalifikovanými osobami .
• Vynucovací a disciplinární opatření – Regulátoři mohou ukládat pokuty a přijímat disciplinární opatření za porušení pravidel CTP, a to i prostřednictvím zvláštního prohlášení o politice vymáhání vůči CTP .

Mohou regulátoři zakázat cloudovému providerovi poskytování služby?

Zákon FSMA 2023 výslovně neobsahuje samostatnou pravomoc „zakázat poskytování služby". Nicméně pravomoc vydávat příkazy podle paragrafu 312N zákona FSMA je natolik široká, že takový krok pokrývá: regulátor může CTP nařídit, aby se zdržela jakékoli činnosti, pokud se to jeví jako nezbytné nebo účelné pro prosazování cílů daného regulátora, což by v praxi mohlo zahrnovat i zákaz poskytování konkrétní služby představující systémové riziko .

Standardy odolnosti a požadavky na testování platné od prvního dne

Podrobné požadavky jsou stanoveny ve společném Policy Statement PS16/24 a Supervisory Statement SS6/24 regulátorů, které byly zveřejněny v listopadu 2024 . Mezi klíčové požadavky platné od data označení patří:

• Základní pravidla CTP – Šest vysoce úrovňových pravidel zaměřených na výsledky, pokrývajících správu a řízení, řízení rizik, provozní odolnost a spolupráci s regulátory. Vztahují se na všechny služby, které CTP poskytuje finančním firmám .
• Požadavky na provozní riziko a odolnost – CTP musí identifikovat, řídit a zotavovat se z narušení svých „systémových služeb třetích stran". Pro každou takovou službu musí stanovit maximální tolerovatelnou úroveň narušení .
• Zátěžové testování – CTP jsou povinny provádět scénářové testy, aby posoudily svou schopnost zůstat v rámci maximální tolerovatelné úrovně narušení při závažných, ale pravděpodobných scénářích .
• Hlášení incidentů – CTP musí regulátorům hlásit závažné provozní incidenty, které mají dopad na systémové služby třetích stran .
• Každoroční sebehodnocení – CTP musí každoročně předkládat sebehodnocení podle očekávání regulátorů a podléhají hloubkovým a tematickým prověrkám, včetně zpráv kvalifikovaných osob .

Přechodné období a co bude následovat

První rok po označení je „mobilizační" fází zaměřenou na to, aby si regulátoři vytvořili porozumění operacím a rizikovému profilu každé CTP. Plné dodržování všech požadavků bude zaváděno postupně . Důležité upozornění: konkrétní standardy odolnosti a požadavky na testování byly finalizovány ještě předtím, než byly označeny jakékoli CTP . Přesné metriky, prahové hodnoty a maximální tolerovatelné úrovně narušení budou stanoveny prostřednictvím individuálního dohledu nad každým ze čtyř providerů během prvního roku .