a)

finanční subjekty, které uzavřely smluvní ujednání na využívání služeb IKT za účelem provádění svých obchodních operací, jsou vždy plně odpovědné za dodržení a splnění všech povinností vyplývajících z tohoto nařízení a platného práva v oblasti finančních služeb;

b)

řízení rizika v oblasti IKT spojeného s třetími stranami provádějí finanční subjekty s ohledem na zásadu proporcionality a na:

a)

srozumitelný a úplný popis všech funkcí a služeb IKT dodávaných poskytovatelem služeb IKT z řad třetích stran s uvedením, zda je povoleno zajišťování služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatných součástí subdodavatelem, a v kladném případě podmínky, kterými se toto využití subdodavatele řídí;

b)

místa, konkrétně regiony nebo země, kde mají být nasmlouvané nebo subdodavatelem zajišťované funkce a služby IKT poskytovány a kde mají být zpracovávána data, včetně místa jejich uchovávání, a povinnost poskytovatele služeb IKT z řad třetích stran oznámit finančnímu subjektu předem, plánuje-li změnu těchto míst;

c)

ustanovení týkající se dostupnosti, hodnověrnosti, integrity a důvěrnosti, pokud jde o ochranu údajů, včetně osobních údajů;

d)

ustanovení o zajištění přístupu, obnovy a vrácení ve snadno přístupném formátu osobních a jiných než osobních údajů zpracovávaných finančním subjektem v případě platební neschopnosti, řešení krize nebo přerušení činností poskytovatele služeb IKT z řad třetích stran nebo v případě ukončení smluvních ujednání;

e)

popis úrovně služeb, včetně aktualizací a revizí;

f)

povinnost poskytovatele služeb IKT z řad třetích stran poskytnout finančnímu subjektu pomoc bez dodatečných nákladů nebo za náklady, které jsou stanoveny ex ante, dojde-li k incidentu v oblasti IKT, který souvisí se službou IKT poskytovanou finančnímu subjektu;

g)

povinnost poskytovatele služeb IKT z řad třetích stran plně spolupracovat s příslušnými orgány a s orgány příslušnými k řešení krize finančního subjektu, včetně osob jimi jmenovaných;

h)

práva na ukončení smlouvy a související minimální výpovědní lhůty pro ukončení smluvních ujednání v souladu s očekáváními příslušných orgánů a orgánů příslušných k řešení krize;

i)

podmínky pro účast poskytovatele služeb IKT z řad třetích stran na programech zvyšování povědomí o bezpečnosti v oblasti IKT a školeních o digitální provozní odolnosti finančních subjektů v souladu s čl. 13 odst. 6.

a)

úplný popis úrovně služeb, včetně jejich aktualizací a revizí, a přesné kvalitativní i kvantitativní výkonnostní cíle v rámci sjednaných úrovní služeb umožňující účinné sledování služeb IKT finančním subjektem a neprodlené přijetí vhodných kroků k nápravě, nejsou-li sjednané úrovně služeb splněny;

b)

výpovědní lhůty a povinnosti hlášení poskytovatele služeb IKT z řad třetích stran finančnímu subjektu, včetně oznámení jakéhokoli vývoje, který by mohl mít významný dopad na schopnost poskytovatele služeb IKT z řad třetích stran účinně poskytovat služby IKT podporující zásadní nebo důležité funkce v souladu se sjednanými úrovněmi služeb;

c)

povinnosti poskytovatele služeb IKT z řad třetích stran uplatňovat a testovat plány zachování provozu a mít bezpečnostní opatření, nástroje a politiky v oblasti IKT, jež zajistí odpovídající úroveň bezpečnosti poskytování služeb finančním subjektem v souladu s jeho regulačním rámcem;

d)

povinnost poskytovatele služeb IKT z řad třetích stran účastnit se penetračního testování na základě hrozeb finančního subjektu a plně na něm spolupracovat, jak je uvedeno v článcích 26 a 27;

e)

právo nepřetržitě sledovat výsledky poskytovatele služeb IKT z řad třetích stran, které zahrnuje:

f)

strategie ukončení smluvního vztahu, zejména stanovení povinného přiměřeného přechodného období: