Článek 2 Obsah, struktura a formát informací, které mají být předloženy, zpřístupněny nebo oznámeny kritickými poskytovateli služeb IKT z řad třetích stran

a)

informace o ujednáních a kopie smluvních dokumentů mezi:

b)

informace o organizační struktuře a struktuře skupiny kritického poskytovatele služeb IKT z řad třetích stran, včetně identifikace všech subjektů patřících do stejné skupiny, které přímo či nepřímo poskytují služby IKT finančním subjektům v Unii;

c)

informace o hlavních akcionářích, včetně jejich struktury a zeměpisného rozložení, kteréhokoli z následujících subjektů:

d)

informace o tržním podílu kritického poskytovatele služeb IKT z řad třetích stran podle druhu služeb na relevantních trzích, kde působí;

e)

informace o interních systémech správy a řízení kritického poskytovatele služeb IKT z řad třetích stran, včetně struktury s rozdělením odpovědnosti za řízení a pravidel odpovědnosti;

f)

zápisy z jednání řídícího orgánu a všech dalších příslušných interních výborů kritického poskytovatele služeb IKT z řad třetích stran, které se jakýmkoli způsobem týkají činností a rizik souvisejících se službami IKT třetích stran podporujícími funkce finančních subjektů v Unii;

g)

informace o bezpečnosti IKT kritického poskytovatele služeb IKT z řad třetích stran, včetně příslušných strategií, cílů, politik, postupů, protokolů, procesů, kontrolních opatření na ochranu citlivých údajů, kontrol přístupu, postupů šifrování, plánů reakce na incidenty a informací o dodržování všech příslušných předpisů a případně vnitrostátních a mezinárodních norem;

h)

informace o technických a organizačních opatřeních k zajištění ochrany a důvěrnosti údajů včetně osobních a jiných než osobních údajů, zavedených kontrolních opatřeních na ochranu citlivých údajů, kontrolách přístupu, postupech šifrování a plánu reakce na narušení bezpečnosti údajů; pokud se na poskytovatele služeb IKT z řad třetích stran v souvislosti se zpracováním osobních údajů vztahují právní předpisy třetích zemí, včetně žádosti o přístup vlády třetí země, pak také seznam těchto zemí a příslušných právních předpisů;

i)

informace o mechanismech, které kritický poskytovatel služeb IKT z řad třetích stran nabízí finančním subjektům Unie pro přenositelnost dat a přenositelnost a interoperabilitu aplikací;

j)

informace o umístění datových center a výrobních středisek IKT používaných pro účely poskytování služeb finančním subjektům, včetně seznamu všech příslušných prostor a zařízení kritického poskytovatele služeb IKT z řad třetích stran, a to i mimo Unii;

k)

informace o poskytování služeb kritickým poskytovatelem služeb IKT z řad třetích stran ze třetí země, včetně informací o příslušných právních předpisech, které se vztahují na osobní a jiné než osobní údaje zpracovávané poskytovatelem služeb IKT z řad třetích stran;

l)

informace o opatřeních přijatých k řešení rizik vyplývajících z poskytování služeb IKT kritickým poskytovatelem služeb IKT z řad třetích stran a jeho subdodavateli ze třetích zemí;

m)

informace o rámci pro řízení rizik a o rámci pro řízení incidentů, včetně politik, postupů, nástrojů, mechanismů a systémů správy a řízení kritického poskytovatele služeb IKT z řad třetích stran a jeho subdodavatelů, včetně seznamu a popisu významných incidentů s přímým nebo nepřímým dopadem na finanční subjekty v Unii, včetně příslušných podrobností pro určení významu incidentu pro finanční subjekty a posouzení možných přeshraničních dopadů;

n)

informace o rámci pro řízení změn, včetně politik, postupů a kontrolních mechanismů kritického poskytovatele služeb IKT z řad třetích stran a jeho subdodavatelů;

o)

informace o celkovém rámci pro reakci a obnovu kritického poskytovatele služeb IKT z řad třetích stran, včetně plánů zachování provozu a souvisejících opatření a postupů, politiky životního cyklu vývoje softwaru, plánů reakce a obnovy a souvisejících opatření a postupů a opatření a postupů pro zálohování;

p)

informace o sledování výkonnosti, monitorování bezpečnosti a sledování incidentů, jakož i informace o mechanismech podávání zpráv týkajících se kvality služeb, incidentů a dodržování sjednaných dohod o úrovni služeb (SLA) a cílů týkajících se úrovně služeb (SLO) nebo podobných ujednání mezi kritickými poskytovateli služeb IKT z řad třetích stran a finančními subjekty v Unii;

q)

informace o rámci pro řízení IKT z řad třetích stran, který uplatňuje kritický poskytovatel služeb IKT z řad třetích stran, včetně strategií, politik, postupů, procesů a kontrolních mechanismů, včetně podrobností o uplatňování náležité péče a posouzení rizik, které kritický poskytovatel služeb IKT z řad třetích stran provedl u svých subdodavatelů před uzavřením smlouvy s nimi, a o sledování jejich spolupráce se zohledněním všech relevantních rizik týkajících se IKT a protistrany;

r)

výpisy z monitorovacích a skenovacích systémů kritického poskytovatele služeb IKT z řad třetích stran a jeho subdodavatelů, zahrnující mimo jiné monitorování sítě, monitorování serverů, monitorování aplikací, monitorování zabezpečení, skenování zranitelností, správu protokolů, monitorování výkonu, řízení incidentů a měření s ohledem na cíle spolehlivosti, jako jsou SLO;

s)

výpisy z jakéhokoli produkčního, předprodukčního a testovacího systému nebo aplikace, které používá kritický poskytovatel služeb IKT z řad třetích stran a jeho subdodavatelé k přímému nebo nepřímému poskytování služeb finančním subjektům v Unii;

t)

zprávy o dodržování předpisů a dostupné zprávy o auditu, jakož i veškerá příslušná zjištění auditu, včetně auditů provedených vnitrostátními orgány v Unii a mimo Unii, pokud dohody o spolupráci s příslušnými orgány takovou výměnu informací umožňují, nebo osvědčení, kterých dosáhl kritický poskytovatel služeb IKT z řad třetích stran nebo jeho subdodavatelé, včetně zpráv interních a externích auditorů, osvědčení nebo posouzení souladu s odvětvovými normami. Patří sem informace o jakémkoli typu dostupného nezávislého testování odolnosti systémů IKT kritického poskytovatele služeb IKT z řad třetích stran, včetně jakéhokoli typu penetračního testování na základě hrozeb, které poskytovatel služeb IKT z řad třetích stran provedl;

u)

informace o všech hodnoceních provedených kritickým poskytovatelem služeb IKT z řad třetích stran, na jeho žádost nebo jeho jménem, která hodnotí vhodnost a bezúhonnost osob zastávajících klíčové pozice u kritického poskytovatele služeb IKT z řad třetích stran;

v)

informace o jakémkoli plánu nápravných opatření k řešení doporučení podle článku 3 a příslušné související informace, které potvrzují, že náprava byla provedena;

w)

informace o dostupných programech školení zaměstnanců a programech zvyšování povědomí o bezpečnosti, včetně případných informací o investicích, zdrojích a metodách kritického poskytovatele služeb IKT z řad třetích stran, pokud jde o školení jeho zaměstnanců v oblasti nakládání s citlivými finančními údaji a udržování vysoké úrovně bezpečnosti;

x)

informace o činnostech kritického poskytovatele služeb IKT z řad třetích stran a finanční výkazy, včetně informací o rozpočtu a zdrojích souvisejících s IKT a bezpečností.