Článek 3 1

a)

postupy náležité péče prověřující poskytovatele služeb IKT z řad třetích stran zajišťují, že je schopen vybrat potenciální subdodavatele IKT k poskytování služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatné součásti a posoudit jejich provozní a finanční schopnosti, mimo jiné i tím, že se poskytovatel služeb IKT z řad třetích stran na žádost finančního subjektu zapojí do testování digitální provozní odolnosti podle kapitoly IV nařízení (EU) 2022/2554;

b)

poskytovatel služeb IKT z řad třetích stran je schopen identifikovat všechny subdodavatele, kteří poskytují služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti, oznámit je finančnímu subjektu a informovat jej o nich a je schopen poskytnout finančnímu subjektu všechny informace, které mohou být nezbytné k posouzení podmínek podle tohoto článku;

c)

poskytovatel služeb IKT z řad třetích stran zajišťuje, aby smluvní ujednání se subdodavateli, kteří poskytují služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatné součásti, umožňovala finančnímu subjektu plnit jeho vlastní povinnosti vyplývající z nařízení (EU) 2022/2554 a příslušných unijních a vnitrostátních právních předpisů;

d)

subdodavatel přiznává finančnímu subjektu, příslušným orgánům a orgánům příslušným k řešení krize stejná smluvní práva na přístup a kontrolu, jaké přiznává poskytovatel služeb IKT z řad třetích stran;

e)

aniž je dotčena konečná odpovědnost finančního subjektu za plnění jeho právních a regulačních povinností, sám poskytovatel služeb IKT z řad třetích stran má dostatečnou schopnost, odbornost a patřičné finanční, lidské a technické zdroje ke sledování rizik v oblasti IKT na úrovni subdodavatelů, mimo jiné díky tomu, že uplatňuje odpovídající normy v oblasti bezpečnosti informací a má zavedenu odpovídající organizační strukturu, řízení rizik, interní kontroly, hlášení incidentů a reakce na incidenty;

f)

finanční subjekt má dostatečnou schopnost, odbornost a patřičné finanční, lidské a technické zdroje ke sledování rizik v oblasti IKT souvisejících se službou podporující zásadní nebo důležité funkce nebo jejich podstatné součásti, která byla zadána subdodavatelům, mimo jiné díky tomu, že uplatňuje odpovídající normy v oblasti bezpečnosti informací a má zavedenu odpovídající organizační strukturu, řízení rizik, reakce na incidenty, řízení zachování provozu a interní kontroly;

g)

finanční subjekt posoudil dopad možného selhání subdodavatele, který poskytuje služby IKT podporující zásadní nebo důležité funkce nebo jejich podstatnou součást, na svou digitální provozní odolnost a své finanční zdraví;

h)

finanční subjekt posoudil rizika spojená s místem usazení potenciálních subdodavatelů, v souvislosti se službami IKT podporujícími zásadní nebo důležité funkce nebo jejich podstatnou součást poskytovanými poskytovatelem služeb IKT z řad třetích stran;

i)

finanční subjekt posoudil rizika koncentrace IKT na úrovni subjektu v souladu s článkem 29 nařízení (EU) 2022/2554;

j)

finanční subjekt posoudil, zda neexistují nějaké překážky pro výkon auditu, kontroly a práv na přístup ze strany příslušných orgánů, orgánů příslušných k řešení krize nebo finančního subjektu včetně jimi jmenovaných osob.