+Άρθρο 2 Περιεχόμενο, δομή και μορφή των πληροφοριών που πρέπει να υποβάλλονται, να γνωστοποιούνται ή να αναφέρονται από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ
---+Άρθρο 2 1
---+Άρθρο 2 2
|
Άρθρο 2 Περιεχόμενο, δομή και μορφή των πληροφοριών που πρέπει να υποβάλλονται, να γνωστοποιούνται ή να αναφέρονται από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ
1. Επισκόπηση
| Τίτλος |
Κανονισμός |
|
Άρθρο 2 1
|
1. Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ παρέχουν στον κύριο εποπτικό φορέα, κατόπιν αιτήματός του, κάθε πληροφορία που είναι αναγκαία για να εκτελέσει ο κύριος εποπτικός φορέας τα εποπτικά του καθήκοντα σύμφωνα με τις απαιτήσεις του κανονισμού (ΕΕ) 2022/2554.
|
|
Άρθρο 2 2
|
2. Οι πληροφορίες που αναφέρονται στην παράγραφο 1 περιλαμβάνουν, μεταξύ άλλων, τα εξής:
|
α)
|
πληροφορίες σχετικά με τις ρυθμίσεις, και αντίγραφα των συμβατικών εγγράφων, ανάμεσα:
|
i)
|
στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και στις χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 2 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554·
|
|
ii)
|
στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και στους υπεργολάβους του με σκοπό την αποτύπωση της τεχνολογικής αλυσίδας αξίας των υπηρεσιών ΤΠΕ που παρέχονται στις χρηματοοικονομικές οντότητες στην Ένωση·
|
|
|
β)
|
πληροφορίες σχετικά με την οργανωτική δομή και τη δομή του ομίλου του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, συμπεριλαμβανομένου του προσδιορισμού όλων των οντοτήτων που ανήκουν στον ίδιο όμιλο και παρέχουν άμεσα ή έμμεσα υπηρεσίες ΤΠΕ σε χρηματοοικονομικές οντότητες στην Ένωση·
|
|
γ)
|
πληροφορίες σχετικά με τους κύριους μετόχους, συμπεριλαμβανομένης της δομής και της γεωγραφικής τους κατανομής, για οποιαδήποτε από τις ακόλουθες:
|
i)
|
οντότητες που κατέχουν, αποκλειστικά ή από κοινού με τις συνδεδεμένες οντότητές τους, το 25 % ή περισσότερο του κεφαλαίου ή των δικαιωμάτων ψήφου του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·
|
|
ii)
|
οντότητες που έχουν το δικαίωμα να διορίζουν ή να παύουν την πλειονότητα των μελών του διοικητικού, διαχειριστικού ή εποπτικού οργάνου του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·
|
|
iii)
|
οντότητες που ελέγχουν, βάσει συμφωνίας, την πλειοψηφία των δικαιωμάτων ψήφου των μετόχων ή των μελών του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·
|
|
|
δ)
|
πληροφορίες σχετικά με το μερίδιο αγοράς του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ ανά είδος υπηρεσιών, στις σχετικές αγορές όπου δραστηριοποιείται·
|
|
ε)
|
πληροφορίες σχετικά με τις ρυθμίσεις εσωτερικής διακυβέρνησης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, συμπεριλαμβανομένης της δομής με κανόνες για τα όρια αρμοδιότητας και λογοδοσίας για τη διακυβέρνηση·
|
|
στ)
|
τα πρακτικά των συνεδριάσεων του διοικητικού οργάνου του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και οποιωνδήποτε άλλων εσωτερικών σχετικών επιτροπών, τα οποία σχετίζονται καθ’ οιονδήποτε τρόπο με δραστηριότητες και κινδύνους που αφορούν υποστηρικτικές λειτουργίες υπηρεσιών τρίτων παρόχων ΤΠΕ των χρηματοπιστωτικών οντοτήτων εντός της Ένωσης·
|
|
ζ)
|
πληροφορίες σχετικά με την ασφάλεια ΤΠΕ του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, στις οποίες περιλαμβάνονται σχετικές στρατηγικές, στόχοι, πολιτικές, διαδικασίες, πρωτόκολλα, διεργασίες, μέτρα ελέγχου για την προστασία ευαίσθητων δεδομένων, έλεγχοι πρόσβασης, πρακτικές κρυπτογράφησης, σχέδια αντιμετώπισης συμβάντων και πληροφορίες σχετικά με τη συμμόρφωση με όλους τους σχετικούς κανονισμούς και τα εθνικά και διεθνή πρότυπα, κατά περίπτωση·
|
|
η)
|
πληροφορίες σχετικά με τεχνικά και οργανωτικά μέτρα για τη διασφάλιση της προστασίας και της εμπιστευτικότητας των δεδομένων, συμπεριλαμβανομένων των δεδομένων προσωπικού και μη προσωπικού χαρακτήρα, τα εφαρμοζόμενα μέτρα ελέγχου για την προστασία ευαίσθητων δεδομένων, την πρόσβαση, τους ελέγχους, τις πρακτικές κρυπτογράφησης, το σχέδιο αντιμετώπισης παραβάσεων δεδομένων· όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ο τρίτος πάροχος υπηρεσιών ΤΠΕ υπόκειται στη νομοθεσία τρίτων χωρών, συμπεριλαμβανομένων αιτημάτων πρόσβασης από κυβέρνηση τρίτης χώρας, του καταλόγου των χωρών και της εφαρμοστέας νομοθεσίας·
|
|
θ)
|
πληροφορίες σχετικά με τους μηχανισμούς που προσφέρει ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ στις χρηματοοικονομικές οντότητες της Ένωσης για τη φορητότητα των δεδομένων, τη φορητότητα των εφαρμογών και τη διαλειτουργικότητα·
|
|
ι)
|
πληροφορίες σχετικά με την τοποθεσία των κέντρων δεδομένων και των κέντρων παραγωγής ΤΠΕ που χρησιμοποιούνται για τους σκοπούς της παροχής υπηρεσιών στις χρηματοοικονομικές οντότητες, συμπεριλαμβανομένου καταλόγου όλων των σχετικών χώρων και εγκαταστάσεων του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, μεταξύ άλλων και εκτός της Ένωσης·
|
|
ια)
|
πληροφορίες σχετικά με την παροχή υπηρεσιών από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ από τρίτες χώρες, συμπεριλαμβανομένων πληροφοριών για τις σχετικές νομικές διατάξεις που εφαρμόζονται στα δεδομένα προσωπικού και μη προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία από τον τρίτο πάροχο υπηρεσιών ΤΠΕ·
|
|
ιβ)
|
πληροφορίες σχετικά με τα μέτρα που λαμβάνονται για την αντιμετώπιση κινδύνων που απορρέουν από την παροχή υπηρεσιών ΤΠΕ από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και τους υπεργολάβους του από τρίτες χώρες·
|
|
ιγ)
|
πληροφορίες σχετικά με το πλαίσιο διαχείρισης κινδύνων και το πλαίσιο διαχείρισης συμβάντων, στις οποίες περιλαμβάνονται πολιτικές, διαδικασίες, εργαλεία, μηχανισμοί και ρυθμίσεις διακυβέρνησης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και των υπεργολάβων του, συμπεριλαμβανομένου καταλόγου και περιγραφής μειζόνων συμβάντων με άμεσο ή έμμεσο αντίκτυπο στις χρηματοοικονομικές οντότητες εντός της Ένωσης, μεταξύ άλλων σχετικές λεπτομέρειες για τον προσδιορισμό της σημασίας του συμβάντος για τις χρηματοοικονομικές οντότητες και την αξιολόγηση πιθανών διασυνοριακών επιπτώσεων·
|
|
ιδ)
|
πληροφορίες σχετικά με το πλαίσιο διαχείρισης αλλαγών, συμπεριλαμβανομένων των πολιτικών, διαδικασιών και ελέγχων του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και των υπεργολάβων του·
|
|
ιε)
|
πληροφορίες σχετικά με το συνολικό πλαίσιο αντιμετώπισης και ανάκαμψης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, στις οποίες περιλαμβάνονται τα σχέδια επιχειρησιακής συνέχειας και οι σχετικές ρυθμίσεις και διαδικασίες, η πολιτική για τη διάρκεια ανάπτυξης λογισμικού, τα σχέδια αντιμετώπισης και ανάκαμψης και οι σχετικές ρυθμίσεις και διαδικασίες, οι πολιτικές και διαδικασίες δημιουργίας εφεδρικών συστημάτων·
|
|
ιστ)
|
πληροφορίες σχετικά με την παρακολούθηση των επιδόσεων, την παρακολούθηση της ασφάλειας και την παρακολούθηση συμβάντων, καθώς και πληροφορίες σχετικά με τους μηχανισμούς αναφοράς που σχετίζονται με τις επιδόσεις των υπηρεσιών, τα συμβάντα και τη συμμόρφωση με συνομολογημένες συμφωνίες επιπέδου εξυπηρέτησης και στόχους επιπέδου εξυπηρέτησης ή παρόμοιες ρυθμίσεις μεταξύ κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ και χρηματοοικονομικών οντοτήτων στην Ένωση·
|
|
ιζ)
|
πληροφορίες σχετικά με το πλαίσιο διαχείρισης τρίτων παρόχων υπηρεσιών ΤΠΕ που διαθέτει ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ, στις οποίες περιλαμβάνονται στρατηγικές, πολιτικές, διαδικασίες, διεργασίες και έλεγχοι, συμπεριλαμβανομένων λεπτομερειών σχετικά με τη δέουσα επιμέλεια και την αξιολόγηση κινδύνων που διενεργήθηκε από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ σε σχέση με τους υπεργολάβους του πριν από τη σύναψη συμφωνίας μαζί τους, και για την παρακολούθηση της σχέσης που καλύπτει όλους τους σχετικούς κινδύνους ΤΠΕ και αντισυμβαλλομένου·
|
|
ιη)
|
αποσπάσματα από τα συστήματα παρακολούθησης και σάρωσης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και των υπεργολάβων του, τα οποία καλύπτουν, μεταξύ άλλων, την παρακολούθηση δικτύου, την παρακολούθηση διακομιστών, την παρακολούθηση εφαρμογών, την παρακολούθηση της ασφάλειας, τη σάρωση τρωτών σημείων, τη διαχείριση αρχείων καταγραφής, την παρακολούθηση επιδόσεων, τη διαχείριση συμβάντων και τις μετρήσεις έναντι στόχων αξιοπιστίας, όπως οι στόχοι επιπέδου εξυπηρέτησης·
|
|
ιθ)
|
αποσπάσματα από οποιοδήποτε σύστημα ή εφαρμογή παραγωγής, προπαραγωγής και δοκιμής που χρησιμοποιείται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και τους υπεργολάβους του για την άμεση ή έμμεση παροχή υπηρεσιών σε χρηματοοικονομικές οντότητες στην Ένωση·
|
|
κ)
|
εκθέσεις συμμόρφωσης και διαθέσιμες εκθέσεις ελέγχου, καθώς και τυχόν σχετικά πορίσματα του ελέγχου, συμπεριλαμβανομένων των ελέγχων που διενεργούνται από εθνικές αρχές στην Ένωση και εκτός της Ένωσης, όταν οι συμφωνίες συνεργασίας με τις αρμόδιες αρχές προβλέπουν την εν λόγω ανταλλαγή πληροφοριών, ή πιστοποιήσεις που επιτυγχάνονται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ ή τους υπεργολάβους του, συμπεριλαμβανομένων εκθέσεων από εσωτερικούς και εξωτερικούς ελεγκτές, πιστοποιήσεων ή αξιολογήσεων συμμόρφωσης με ειδικά ανά κλάδο πρότυπα. Περιλαμβάνονται πληροφορίες σχετικά με κάθε είδος διαθέσιμων ανεξάρτητων δοκιμών της ανθεκτικότητας των συστημάτων ΤΠΕ του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, συμπεριλαμβανομένου κάθε είδους δοκιμών παρείσδυσης βάσει απειλών που διενεργούνται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ·
|
|
κα)
|
πληροφορίες σχετικά με τυχόν αξιολογήσεις που διενεργούνται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ κατόπιν αιτήματός του ή για λογαριασμό του, για να αξιολογηθούν η καταλληλότητα και η ακεραιότητα των ατόμων που κατέχουν βασικές θέσεις εντός του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·
|
|
κβ)
|
πληροφορίες σχετικά με κάθε σχέδιο αποκατάστασης για την υλοποίηση των συστάσεων σύμφωνα με το άρθρο 3 και σχετικές πληροφορίες για την επιβεβαίωση της εφαρμογής διορθωτικών μέτρων·
|
|
κγ)
|
πληροφορίες σχετικά με διαθέσιμα προγράμματα κατάρτισης των εργαζομένων και προγράμματα ευαισθητοποίησης σε θέματα ασφάλειας, συμπεριλαμβανομένων, κατά περίπτωση, πληροφοριών σχετικά με τις επενδύσεις, τους πόρους και τις μεθόδους του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ για την κατάρτιση του προσωπικού του όσον αφορά τον χειρισμό ευαίσθητων χρηματοοικονομικών δεδομένων και τη διατήρηση υψηλών επιπέδων ασφάλειας·
|
|
κδ)
|
πληροφορίες σχετικά με τις δραστηριότητες του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και οικονομικές καταστάσεις, συμπεριλαμβανομένων πληροφοριών σχετικά με τον προϋπολογισμό και τους πόρους που σχετίζονται με τις ΤΠΕ και την ασφάλεια.
|
|
,
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικά πρότυπα
2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
|