Artikel 2 Indhold, struktur og format af de oplysninger, som tredjepartsudbydere af IKT-tjenester skal forelægge, offentliggøre eller aflægge rapport om

a)

oplysninger om ordninger, der er indgået mellem, og kopier af kontraktlige dokumenter for:

b)

oplysninger om organisations- og koncernstrukturen hos den kritiske tredjepartsudbyder af IKT-tjenester, herunder identifikation alle de enheder, der tilhører den samme koncern, som direkte eller indirekte leverer IKT-tjenester til finansielle enheder i Unionen

c)

oplysninger om de større aktionærer, herunder deres struktur og geografiske spredning, for alle følgende:

d)

oplysninger om den markedsandel, som den kritiske tredjepartsudbyder af IKT-tjenester besidder, efter typen af tjenester, i de relevante markeder, hvor den driver virksomhed

e)

oplysninger om de interne ledelsesordninger i den kritiske tredjepartsudbyder af IKT-tjenester, herunder strukturen med linjer for forvaltningsansvar og regler om ansvarliggørelse

f)

referaterne fra ledelsesorganet og eventuelle relevante interne udvalg i kritiske tredjepartsudbydere af IKT-tjenester, som på en hvilken som helst måde vedrører aktiviteter og risici forbundet med IKT-tredjepartstjenester, som understøtter funktioner i finansielle enheder i Unionen

g)

oplysninger om IKT-sikkerheden hos den kritiske tredjepartsudbyder af IKT-tjenester, herunder relevante strategier, mål, politikker, procedurer, processer, kontrolforanstaltninger til beskyttelse af følsomme data, adgangskontroller, krypteringspraksis, indsatsplaner i forbindelse med hændelser og oplysninger om overholdelse af relevante regler samt nationale og internationale standarder, hvis det er relevant

h)

oplysninger om tekniske og organisatoriske foranstaltninger til sikring af databeskyttelse og fortroligheden af data, herunder personoplysninger og andre data end personoplysninger, gennemførte kontrolforanstaltninger til beskyttelse af følsomme data, adgangskontroller, krypteringspraksis, indsatsplaner i forbindelse med databrud såfremt tredjepartsudbyderen af IKT-tjenester med hensyn til behandling af personoplysninger er omfattet af love fra tredjelande, herunder adgangsanmodninger fra regeringer i tredjelande, en liste over lande og gældende love

i)

oplysninger om de mekanismer, som den kritiske tredjepartsudbyder af IKT-tjenester udbyder til finansielle enheder i Unionen for dataportabilitet, applikationsportabilitet og interoperabilitet

j)

oplysninger om beliggenheden af datacentre og IKT-produktionscentre, som anvendes med henblik på levering af tjenester til de finansielle enheder, herunder en liste over alle relevante lokaler og faciliteter, som tilhører den kritiske tredjepartsudbyder af IKT-tjenester, også uden for Unionen

k)

oplysninger om levering af tjenester, som foretages af den kritiske tredjepartsudbyder af IKT-tjenester fra tredjelande, herunder oplysninger om relevante retlige bestemmelser, som gælder for personoplysninger og andre data end personoplysninger, som behandles af tredjepartsudbyderen af IKT-tjenester

l)

oplysninger om foranstaltninger, der træffes for at mindske risici, som hidrører fra leveringen af IKT-tjenester, som foretages af den kritiske tredjepartsudbyder af IKT-tjenester og dennes underleverandører fra tredjelande

m)

oplysninger om rammen for risikostyring og rammen for styring af hændelser, herunder politikker, procedurer, værktøjer, mekanismer og forvaltningsordninger hos den kritiske tredjepartsudbyder af IKT-tjenester og dens underleverandører, herunder en liste og beskrivelse af større hændelser med en direkte eller indirekte indvirkning på finansielle enheder i Unionen, som bl.a. omfatter relevante udførlige oplysninger, der tjener til at fastslå hændelsens betydning for finansielle enheder og vurdere mulige grænseoverskridende virkninger

n)

oplysninger om rammen for styring af ændringer, herunder politikker, procedurer og kontroller med den kritiske tredjepartsudbyder af IKT-tjenester og dens underleverandører

o)

oplysninger om den overordnede indsats- og genopretningsramme hos den kritiske tredjepartsudbyder af IKT-tjenester, som bl.a. omfatter planer for driftsstabiliteten og dermed forbundne ordninger og procedurer, livcykluspolitikker vedrørende softwareudvikling, indsats- og genopretningsplaner og dermed forbundne ordninger og procedurer samt politikker, ordninger og procedurer for sikkerhedskopiering

p)

oplysninger om overvågning af ydeevne, sikkerhedsovervågning og sporing af hændelser samt oplysninger om indberetningsmekanismer, som vedrører udførelse af tjenester, hændelser og overholdelse af serviceniveauaftaler og serviceniveaumål eller lignende ordninger mellem kritiske tredjepartsudbydere af IKT-tjenester og finansielle enheder i Unionen

q)

oplysninger om rammen for styring af IKT-tredjeparter hos den kritiske tredjepartsudbyder af IKT-tjenester, herunder strategier, politikker, procedurer, processer og kontroller, hvilket bl.a. omfatter udførlige oplysninger om den due diligence og risikovurdering, der foretages af den kritiske tredjepartsudbyder af IKT-tjenester over for dens underleverandører inden de indgår en aftale med dem for at overvåge forholdet, hvilket omfatter alle relevante IKT- og modpartsrisici

r)

udskrifter fra overvågnings- og scanningssystemer hos den kritiske tredjepartsudbyder af IKT-tjenester og hos dens underleverandører, hvilket omfatter, men ikke er begrænset til netværks-, server- og applikationsovervågning, sårbarhedsscanning, logstyring, overvågning af ydeevne, styring af hændelser og målinger sat i forhold til pålidelighedsmål, f.eks. serviceniveaumål

s)

udskrifter fra produktions-, præproduktions- og testsystemer eller -applikationer, som den kritiske tredjepartsudbyder af IKT-tjenester og dens underleverandører anvender til direkte eller indirekte at levere tjenester til finansielle enheder i Unionen

t)

overensstemmelsesrapporter og tilgængelige revisionsrapporter samt eventuelle relevante revisionsresultater, hvilket bl.a. omfatter revisioner, der udføres af nationale myndigheder i og uden for Unionen, hvor en sådan udveksling af oplysninger er fastsat i samarbejdsaftaler, eller certificeringer, som den kritiske tredjepartsudbyder af IKT-tjenester eller dens underleverandører har opnået, herunder rapporter fra interne og eksterne revisorer, certificeringer eller overensstemmelsesvurderinger med industrispecifikke standarder. Dette inkluderer oplysninger om enhver type tilgængelig uafhængig test af modstandsdygtighed i IKT-systemer hos den kritiske tredjepartsudbyder af IKT-tjenester, herunder enhver type trusselsbaseret penetrationstest, som udføres af tredjepartsudbyderen af IKT-tjenester

u)

oplysninger om eventuelle vurderinger, som den kritiske tredjepartsudbyder af IKT-tjenester har foretaget efter dennes anmodning eller på dennes vegne, som evaluerer egnetheden og integriteten af individer, som bestrider vigtige stillinger inden for den kritiske tredjepartsudbyder af IKT-tjenester

v)

oplysninger om eventuelle udbedringsplaner, som skal imødekomme henstillinger i henhold til artikel 3 og relevante dertil knyttede oplysninger, som skal bekræfte, at der er gennemført afhjælpende foranstaltninger

w)

oplysninger om tilgængelige kursusordninger og programmer til bevidstgørelse om sikkerhed for medarbejdere, herunder, hvis det er relevant, oplysninger om investeringer, ressourcer og metoder, som den kritiske tredjepartsudbyder af IKT-tjenester anvender til at uddanne sit personale i at håndtere følsomme finansielle data og opretholde høje sikkerhedsniveauer

x)

oplysninger om de aktiviteter, som den kritiske tredjepartsudbyder af IKT-tjenester udøver, og finansielle regnskaber, herunder oplysninger om budgettet og ressourcer, som vedrører IKT og sikkerhed.