Microsoft, Google, Amazon og Oracle underlagt nytt britisk tilsynsregime for skytjenester

Hvilke nye fullmakter får Bank of England, PRA og FCA?

Financial Services and Markets Act 2023 innførte et nytt kapittel 3C i del XVIII av FSMA 2000. Dette gir Bank of England, Prudential Regulation Authority (PRA) og Financial Conduct Authority (FCA) – samlet omtalt som «regulatorene» – en rekke nye direkte tilsynsfullmakter over utpekte CTP-er . Disse omfatter:

• Regelverksmyndighet – Hver regulator kan pålegge CTP-er plikter knyttet til tjenestene de leverer til finansforetak, for å fremme sine lovfestede mål .
• Påleggsmyndighet – En regulator kan pålegge en CTP å gjøre eller avstå fra å gjøre noe spesifisert. Dersom pålegget er rettet mot en trussel mot stabiliteten eller integriteten i det britiske finanssystemet, får CTP-en og dens ledelse og ansatte erstatningsfritak for handlinger utført i samsvar med pålegget .
• Innhenting av informasjon og sakkyndiggranskning – Regulatorene kan kreve at CTP-er leverer informasjon og bestiller rapporter fra sakkyndige .
• Håndheving og sanksjoner – Regulatorene kan ilegge bøter og iverksette disiplinærtiltak ved brudd på CTP-reglene, herunder gjennom en egen håndhevingspolicy for CTP-er .

Kan regulatorene forby en skytjenesteleverandør å tilby en tjeneste?

FSMA 2023 inneholder ikke en eksplisitt og selvstendig hjemmel til å «forby tjenesteleveranse» som sådan. Påleggsmyndigheten etter paragraf 312N i FSMA er imidlertid vid nok til å dekke et slikt utfall: en regulator kan pålegge en CTP å avstå fra å gjøre noe dersom det framstår som nødvendig eller hensiktsmessig for å fremme regulatorens mål. I praksis kan dette innebære et forbud mot å levere en bestemt tjeneste som utgjør en systemisk risiko .

Beredskapskrav og testkrav som gjelder fra dag én

De detaljerte kravene er fastsatt i regulatorenes felles Policy Statement PS16/24 og Supervisory Statement SS6/24, begge publisert i november 2024 . Viktige krav som gjelder fra utpekingsdatoen omfatter:

• Grunnleggende CTP-regler – Seks overordnede, resultatorienterte regler som dekker styring, risikostyring, operasjonell beredskap og samarbeid med regulatorene. Reglene gjelder for alle tjenester CTP-en leverer til finansforetak .
• Operasjonelle risiko- og beredskapskrav – CTP-er må identifisere, håndtere og gjenopprette etter forstyrrelser i sine «systemkritiske tredjepartstjenester». De må fastsette et maksimalt tolerabelt forstyrrelsesnivå for hver slik tjeneste .
• Scenariotesting – CTP-er må gjennomføre scenariotester for å vurdere evnen til å holde seg innenfor de maksimale tolerable forstyrrelsesnivåene under alvorlige, men plausible scenarier .
• Varsling av hendelser – CTP-er må varsle regulatorene om vesentlige driftshendelser som påvirker systemkritiske tredjepartstjenester .
• Årlige egenvurderinger – CTP-er må levere årlige egenvurderinger mot regulatorenes forventninger og er gjenstand for dybde- og temagjennomganger, inkludert sakkyndigrapporter .

Overgangsperiode og veien videre

Det første året etter utpeking er en «mobiliseringsfase» der regulatorene skal bygge opp forståelse for hver enkelt CTPs drift og risikoprofil. Full overholdelse av alle krav vil bli faset inn over tid . Et viktig forbehold: de konkrete beredskapsstandardene og testkravene ble fastsatt før noen CTP-er var utpekt . De eksakte måleparametrene, terskelverdiene og maksimale tolerable forstyrrelsesnivåene vil bli fastsatt gjennom individuelt tilsynsarbeid med hver av de fire leverandørene i løpet av det første året .