+Third-party Critical Subcontracting Management

Third-party Critical Subcontracting Management

Delineate critical and important ICT services in contracts with third-party ICT service providers, specifying conditions for subcontracting. Require continual monitoring of subcontracted services supporting critical functions to ensure compliance with contractual obligations. Detail monitoring and reporting responsibilities of the third-party service provider to the financial entity, including risk assessments related to subcontractor locations and data ownership. Mandate incident response and business continuity plans for subcontractors, along with adherence to specified service levels and security standards. Retain termination rights for the financial entity in cases of unauthorized subcontracting or failure to meet agreed-upon service levels. Implement changes relative to contractual agreements as soon as possible and document the planned timeline for the implementation.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 26 4

4.   Aniž je dotčen odst. 2 první a druhý pododstavec, pokud lze důvodně očekávat, že účast poskytovatelů služeb IKT z řad třetích stran na penetračním testování na základě hrozeb, jak je uvedena v odstavci 3, bude mít nepříznivý dopad na kvalitu nebo bezpečnost služeb, které poskytovatel služeb IKT z řad třetích stran poskytuje zákazníkům, kteří jsou subjekty mimo oblast působnosti tohoto nařízení, nebo na důvěrnost údajů souvisejících s takovými službami, finanční subjekt a poskytovatel služeb IKT z řad třetích stran se mohou písemně dohodnout, že poskytovatel služeb IKT z řad třetích stran uzavře smluvní ujednání přímo s externím subjektem provádějícím testování, aby bylo pod vedením jednoho vybraného finančního subjektu provedeno společné penetrační testování na základě hrozeb zahrnující několik finančních subjektů (dále jen „společné testování“), pro něž poskytovatel služeb IKT z řad třetích stran poskytuje služby IKT.

Toto společné testování se vztahuje na příslušný rozsah služeb IKT, které podporují zásadní nebo důležité funkce a jsou zadány příslušnému poskytovateli služeb IKT z řad třetích stran finančními subjekty. Společné testování se považuje za penetrační testování na základě hrozeb, které provádějí finanční subjekty účastnící se společného testování.

Počet finančních subjektů účastnících se společného testování musí být náležitě kalibrován s ohledem na složitost a druhy dotčených služeb.
EULAW Článek 30 3

3.   Smluvní ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce zahrnují kromě prvků uvedených v odstavci 2 alespoň:

a)

úplný popis úrovně služeb, včetně jejich aktualizací a revizí, a přesné kvalitativní i kvantitativní výkonnostní cíle v rámci sjednaných úrovní služeb umožňující účinné sledování služeb IKT finančním subjektem a neprodlené přijetí vhodných kroků k nápravě, nejsou-li sjednané úrovně služeb splněny;

b)

výpovědní lhůty a povinnosti hlášení poskytovatele služeb IKT z řad třetích stran finančnímu subjektu, včetně oznámení jakéhokoli vývoje, který by mohl mít významný dopad na schopnost poskytovatele služeb IKT z řad třetích stran účinně poskytovat služby IKT podporující zásadní nebo důležité funkce v souladu se sjednanými úrovněmi služeb;

c)

povinnosti poskytovatele služeb IKT z řad třetích stran uplatňovat a testovat plány zachování provozu a mít bezpečnostní opatření, nástroje a politiky v oblasti IKT, jež zajistí odpovídající úroveň bezpečnosti poskytování služeb finančním subjektem v souladu s jeho regulačním rámcem;

d)

povinnost poskytovatele služeb IKT z řad třetích stran účastnit se penetračního testování na základě hrozeb finančního subjektu a plně na něm spolupracovat, jak je uvedeno v článcích 26 a 27;

e)

právo nepřetržitě sledovat výsledky poskytovatele služeb IKT z řad třetích stran, které zahrnuje:

i)

neomezené právo na přístup, kontrolu a audit vykonávané finančním subjektem nebo určenou třetí stranou a příslušným orgánem a právo pořizovat kopie příslušné dokumentace na místě, pokud jsou zásadní z hlediska provozu poskytovatele služeb IKT z řad třetích stran, přičemž účinný výkon těchto práv nesmí být znemožňován či omezován jinými smluvními ujednáními nebo prováděcími politikami;

ii)

právo sjednat alternativní úroveň záruky, budou-li dotčena práva jiných klientů;

iii)

povinnost poskytovatele služeb IKT z řad třetích stran plně spolupracovat při kontrolách na místě a auditech prováděných příslušnými orgány, hlavním orgánem dohledu, finančním subjektem nebo určenou třetí stranou, a

iv)

povinnost poskytnout podrobnosti o rozsahu, postupech, které je třeba uplatňovat, a četnosti těchto kontrol a auditů;

f)

strategie ukončení smluvního vztahu, zejména stanovení povinného přiměřeného přechodného období:

i)

během kterého bude poskytovatel služeb IKT z řad třetích stran za účelem snížení rizika výpadku u finančního subjektu nebo zajištění účinného řešení a restrukturalizace nadále poskytovat příslušné funkce nebo služby IKT;

ii)

umožňujícího finančnímu subjektu přejít k jinému poskytovateli služeb IKT z řad třetích stran, nebo přistoupit k vlastnímu řešení odpovídajícímu složitosti poskytované služby.

Odchylně od písmene e) se poskytovatel služeb IKT z řad třetích stran a finanční subjekt, který je mikropodnikem, mohou dohodnout, že práva finančního subjektu na přístup, kontrolu a audit mohou být přenesena na nezávislou třetí stranu určenou poskytovatelem služeb IKT z řad třetích stran a že finanční subjekt může od této třetí strany kdykoli požadovat informace a ujištění o výkonu poskytovatele služeb IKT z řad třetích stran.
EULAW Článek 30 4

4.   Finanční subjekty a poskytovatelé služeb IKT z řad třetích stran při vyjednávání o smluvních ujednáních zváží použití standardních smluvních doložek vypracovaných veřejnými orgány pro konkrétní služby.