1.   De finansielle enheder styrer IKT-tredjepartsrisiko som en integreret del af IKT-risiko inden for deres ramme for IKT-risikostyring som omhandlet i artikel 6, stk. 1, og i overensstemmelse med følgende principper:

2.   Finansielle enheder, der hverken er enheder som omhandlet i artikel 16, stk. 1, første afsnit, eller er mikrovirksomheder, vedtager og gennemgår regelmæssigt en strategi for IKT-tredjepartsrisiko som led i deres ramme for IKT-risikostyring, idet de tager hensyn til den strategi med flere udbydere, der er omhandlet i artikel 6, stk. 9, hvor det er relevant. Strategien for IKT-tredjepartsrisiko skal omfatte en politik for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester, og skal gælde på individuelt grundlag og, hvor det er relevant, på delkonsolideret og konsolideret grundlag. Ledelsesorganet gennemgår på grundlag af en vurdering af den finansielle enheds samlede risikoprofil og omfanget og kompleksiteten af forretningstjenesterne regelmæssigt de risici, der er konstateret i forbindelse med kontraktlige ordninger for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner.

3.   Som led i deres ramme for IKT-risikostyring opretholder og ajourfører de finansielle enheder på enhedsniveau, og på delkonsolideret og konsolideret niveau, et register over oplysninger om alle kontraktlige ordninger for brugen af IKT-tjenester, der leveres af tredjepartsudbydere af IKT-tjenester.

De i første afsnit omhandlede kontraktlige ordninger skal være behørigt dokumenteret, idet der skelnes mellem dem, der dækker IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og dem, der ikke gør.

De finansielle enheder indberetter mindst én gang om året antallet af nye ordninger for brugen af IKT-tjenester, kategorierne af tredjepartsudbydere af IKT-tjenester, typen af kontraktlige ordninger og de IKT-tjenester og funktioner, der leveres, til de kompetente myndigheder.

De finansielle enheder stiller efter anmodning det fulde register over oplysninger eller, som anmodet, nærmere angivne afsnit heraf til rådighed for den kompetente myndighed sammen med eventuelle oplysninger, som anses for nødvendige for at muliggøre et effektivt tilsyn med den finansielle enhed.

De finansielle enheder underretter rettidigt den kompetente myndighed om enhver planlagt kontraktlig ordning for brugen af IKT-tjenester, der understøtter kritiske eller vigtige funktioner, og når en funktion er blevet kritisk eller vigtig.

4.   Inden de finansielle enheder indgår en kontraktlig ordning for brugen af IKT-tjenester, skal de:

5.   De finansielle enheder må kun indgå kontraktlige ordninger med tredjepartsudbydere af IKT-tjenester, der overholder passende standarder for informationssikkerhed. Når disse kontraktlige ordninger vedrører kritiske eller vigtige funktioner, tager de finansielle enheder, inden de indgår ordningerne, behørigt hensyn til tredjepartsudbydere af IKT-tjenesters brug af de seneste informationssikkerhedsstandarder af højeste kvalitet.

6.   Når finansielle enheder udøver adgangs-, inspektions- og revisionsrettigheder over for tredjepartsudbyderen af IKT-tjenester, foretager de på grundlag af en risikobaseret tilgang en forudgående fastsættelse af hyppigheden af revisioner og inspektioner samt af de områder, der skal underkastes revision, idet de overholder almindeligt accepterede revisionsstandarder i overensstemmelse med eventuelle tilsynsmæssige instrukser vedrørende anvendelse og indarbejdelse af sådanne revisionsstandarder.

Hvis de kontraktlige ordninger, der indgås med tredjepartsudbydere af IKT-tjenester for brugen af IKT-tjenester, indebærer en høj grad af teknisk kompleksitet, efterprøver den finansielle enhed, om revisorerne, hvad enten de er interne, eksterne eller en pulje af revisorer, besidder de nødvendige færdigheder og den nødvendige viden til effektivt at udføre de relevante revisioner og vurderinger.

7.   De finansielle enheder sikrer, at de kontraktlige ordninger for brugen af IKT-tjenester som minimum kan opsiges i enhver af følgende situationer:

8.   For så vidt angår IKT-tjenester, der understøtter kritiske eller vigtige funktioner, indfører de finansielle enheder exitstrategier. Exitstrategierne skal tage højde for de risici, der kan opstå hos tredjepartsudbydere af IKT-tjenester, navnlig mulige svigt fra deres side, en forringelse af kvaliteten af de leverede IKT-tjenester, eventuelle driftsforstyrrelser som følge af uhensigtsmæssig eller manglende levering af IKT-tjenester eller eventuelle væsentlige risici i forbindelse med en passende og løbende anvendelse af de pågældende IKT-tjenester eller opsigelse af kontraktlige ordninger med tredjepartsudbydere af IKT-tjenester i en af de i stk. 7 anførte situationer.

De finansielle enheder sikrer, at de kan opsige kontraktlige ordninger, uden:

Exitplanerne skal være omfattende, veldokumenterede og, i overensstemmelse med kriterierne i artikel 4, stk. 2, testet i tilstrækkeligt omfang samt gennemgået regelmæssigt.

De finansielle enheder identificerer alternative løsninger og udarbejder overgangsplaner, således at de kan fratage tredjepartsudbyderen af IKT-tjenester de udliciterede IKT-tjenester og de relevante data og sikkert og fuldstændigt kan overføre disse til alternative udbydere eller på ny indarbejde dem internt.

De finansielle enheder indfører passende beredskabsforanstaltninger for at opretholde driftsstabiliteten i tilfælde af de i første afsnit omhandlede omstændigheder.