Artikel 3 1

a)

due diligence-procedurerne for tredjepartsudbyderen af IKT-tjenester sikrer, at denne er i stand til at udvælge og vurdere potentielle IKT-underleverandørers operationelle og finansielle evne til at levere de IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, herunder ved at deltage i test af digital operationel modstandsdygtighed som omhandlet i kapitel IV i forordning (EU) 2022/2554, når den finansielle enhed kræver det

b)

tredjepartsudbyderen af IKT-tjenester er i stand til at identificere alle underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, til at give meddelelse til og underrette den finansielle enhed om disse underleverandører og er i stand til at give den finansielle enhed alle de oplysninger, der kan være nødvendige for vurderingen af betingelserne i henhold til denne artikel

c)

tredjepartsudbyderen af IKT-tjenester sikrer, at de kontraktlige ordninger med de underleverandører, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, gør det muligt for den finansielle enhed at opfylde sine egne forpligtelser, som hidrører fra forordning (EU) 2022/2554, gældende EU-lovgivning og national lovgivning

d)

underleverandøren giver den finansielle enhed og de kompetente myndigheder og afviklingsmyndighederne de samme kontraktlige adgangsrettigheder og inspektionsrettigheder som dem, tredjepartsudbyderen af IKT-tjenester giver

e)

uden at det berører den finansielle enheds endelige ansvar for at opfylde sine retlige og reguleringsmæssige forpligtelser, råder tredjepartsudbyderen af IKT-tjenester selv over tilstrækkelig kapacitet og ekspertise samt tilstrækkelige finansielle, menneskelige og tekniske ressourcer til at overvåge IKT-risiciene hos underleverandører, herunder ved at anvende passende informationssikkerhedsstandarder og ved at have indført en hensigtsmæssig organisatorisk struktur, passende risikostyring og interne kontroller samt hændelsesindberetning og reaktioner

f)

den finansielle enhed har tilstrækkelig evne og ekspertise og råder over tilstrækkelige finansielle, menneskelige og tekniske ressourcer til at overvåge IKT-risiciene i tilknytning til den tjeneste, der understøtter kritiske eller vigtige funktioner eller væsentlige dele heraf, som er blevet givet i underentreprise, herunder ved at anvende passende informationssikkerhedsstandarder og ved at have indført en passende organisatorisk struktur og risikostyring, hændelsesindsats, styring af driftsstabilitet og interne kontroller

g)

den finansielle enhed har vurderet indvirkningen på den finansielle enheds digitale operationelle modstandsdygtighed og finansielle soliditet af et muligt svigt hos en underleverandør, som leverer IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller en væsentlig del heraf

h)

den finansielle enhed har vurderet de risici, der er knyttet til de potentielle underleverandørers hjemsted, i relation til de IKT-tjenester, der understøtter kritiske eller vigtige funktioner eller en væsentlig del heraf, som leveres af tredjepartsudbyderen af IKT-tjenester

i)

den finansielle enhed har vurderet IKT-koncentrationsrisiciene på enhedsniveau i overensstemmelse med artikel 29 i forordning (EU) 2022/2554

j)

den finansielle enhed har vurderet, om der er hindringer for, at de kompetente myndigheder, afviklingsmyndighederne eller den finansielle enhed, herunder personer udpeget af disse, kan udøve revisions-, inspektions- og adgangsrettigheder.