Άρθρο 3 1

α)

οι διαδικασίες δέουσας επιμέλειας στον τρίτο πάροχο υπηρεσιών ΤΠΕ διασφαλίζουν ότι είναι σε θέση να επιλέγει και να αξιολογεί τις επιχειρησιακές και οικονομικές ικανότητες δυνητικών υπεργολάβων ΤΠΕ για την παροχή των υπηρεσιών ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικά μέρη τους, μεταξύ άλλων συμμετέχοντας, όταν απαιτείται από τη χρηματοοικονομική οντότητα, σε δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας, όπως αναφέρεται στο κεφάλαιο IV του κανονισμού (ΕΕ) 2022/2554·

β)

ο τρίτος πάροχος υπηρεσιών ΤΠΕ είναι σε θέση να προσδιορίζει όλους τους υπεργολάβους που παρέχουν υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικά μέρη τους, να κοινοποιεί τους εν λόγω υπεργολάβους στη χρηματοοικονομική οντότητα και να την ενημερώνει σχετικά, και είναι σε θέση να παρέχει στη χρηματοοικονομική οντότητα όλες τις πληροφορίες που ενδέχεται να είναι απαραίτητες για την αξιολόγηση των προϋποθέσεων του παρόντος άρθρου·

γ)

ο τρίτος πάροχος υπηρεσιών ΤΠΕ διασφαλίζει ότι οι συμβατικές ρυθμίσεις με τους υπεργολάβους που παρέχουν υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικά μέρη τους δίνουν τη δυνατότητα στη χρηματοοικονομική οντότητα να συμμορφώνεται με τις υποχρεώσεις της που απορρέουν από τον κανονισμό (ΕΕ) 2022/2554 και την εφαρμοστέα ενωσιακή και εθνική νομοθεσία·

δ)

ο υπεργολάβος χορηγεί στη χρηματοοικονομική οντότητα καθώς και στις αρμόδιες αρχές και τις αρχές εξυγίανσης τα ίδια συμβατικά δικαιώματα πρόσβασης και επιθεώρησης με αυτά που χορηγούνται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ·

ε)

με την επιφύλαξη της τελικής ευθύνης της χρηματοοικονομικής οντότητας να συμμορφώνεται με τις νομικές και κανονιστικές υποχρεώσεις της, ο ίδιος ο τρίτος πάροχος υπηρεσιών ΤΠΕ διαθέτει επαρκείς ικανότητες, εμπειρογνωσία και επαρκείς οικονομικούς, ανθρώπινους και τεχνικούς πόρους για την παρακολούθηση των κινδύνων ΤΠΕ σε επίπεδο υπεργολάβων, μεταξύ άλλων εφαρμόζοντας κατάλληλα πρότυπα ασφάλειας πληροφοριών και διαθέτοντας κατάλληλη οργανωτική δομή, διαχείριση κινδύνων και εσωτερικές δικλείδες ασφάλειας, καθώς και μέσα αναφοράς και αντιμετώπισης συμβάντων·

στ)

η χρηματοοικονομική οντότητα διαθέτει επαρκείς ικανότητες, εμπειρογνωσία και επαρκείς οικονομικούς, ανθρώπινους και τεχνικούς πόρους για την παρακολούθηση των κινδύνων ΤΠΕ που σχετίζονται με την υπηρεσία η οποία υποστηρίζει κρίσιμες ή σημαντικές λειτουργίες ή σημαντικά μέρη τους και έχει ανατεθεί σε υπεργολάβο, μεταξύ άλλων με την εφαρμογή κατάλληλων προτύπων ασφάλειας πληροφοριών και με τη θέσπιση κατάλληλης οργανωτικής δομής και διαχείρισης κινδύνων, αντιμετώπισης συμβάντων, διαχείρισης επιχειρησιακής συνέχειας και εσωτερικών δικλείδων ασφάλειας·

ζ)

η χρηματοοικονομική οντότητα έχει αξιολογήσει τον αντίκτυπο που θα έχει στην ψηφιακή επιχειρησιακή ανθεκτικότητα και την οικονομική ευρωστία της χρηματοοικονομικής οντότητας η πιθανή πτώχευση υπεργολάβου που παρέχει υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικό μέρος τους·

η)

η χρηματοοικονομική οντότητα έχει αξιολογήσει τους κινδύνους που συνδέονται με την τοποθεσία των δυνητικών υπεργολάβων σε σχέση με τις υπηρεσίες ΤΠΕ οι οποίες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή σημαντικό μέρος τους και παρέχονται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ·

θ)

η χρηματοοικονομική οντότητα έχει αξιολογήσει τους κινδύνους συγκέντρωσης ΤΠΕ σε επίπεδο οντότητας σύμφωνα με το άρθρο 29 του κανονισμού (ΕΕ) 2022/2554·

ι)

η χρηματοοικονομική οντότητα έχει αξιολογήσει αν υπάρχουν εμπόδια στην άσκηση των δικαιωμάτων ελέγχου, επιθεώρησης και πρόσβασης από τις αρμόδιες αρχές, τις αρχές εξυγίανσης ή τη χρηματοοικονομική οντότητα, συμπεριλαμβανομένων των προσώπων που έχουν διοριστεί από αυτές.