Artikkel 2 2

a)

teave lepingute kohta ja lepingudokumentide koopiad, mille pooled on:

b)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja organisatsioonilise ja kontserni struktuuri kohta, sh kõigi samasse kontserni kuuluvate üksuste identifitseerimine, kes osutavad otseselt või kaudselt liidus finantssektori ettevõtjatele IKT-teenuseid;

c)

teave järgmiste üksuste põhiaktsionäride, sh nende struktuuri ja geograafilise jaotuse kohta:

d)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja turuosa kohta teenuste liigi kaupa asjakohastel turgudel, kus ta tegutseb;

e)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja sisemise juhtimiskorralduse kohta, sh selle struktuuri kohta koos juhtimisvastutuse ahelate ja vastutust käsitlevate normidega;

f)

kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja juhtorgani ja muude asjaomaste sisemiste komiteede koosolekute protokollid, mis on mis tahes viisil seotud tegevuse ja riskidega, mis on seotud liidus finantssektori ettevõtjate funktsioone toetavate kolmandate isikute IKT-teenustega;

g)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja IKT turvalisuse kohta, sh asjakohased strateegiad, eesmärgid, tegevuspõhimõtted, menetlused, protokollid, protsessid, kontrollimeetmed tundlike andmete kaitseks, juurdepääsukontrollid, krüpteerimistavad ja intsidentidele reageerimise kavad, ning teave kõigile asjakohastele normidele ning riiklikele ja rahvusvahelistele standarditele vastavuse kohta, kui see on kohaldatav;

h)

teave tehniliste ja korralduslike meetmete kohta, mille eesmärk on tagada andmekaitse ja andmete konfidentsiaalsus (sh isikuandmed ja muud andmed), tundlike andmete kaitseks rakendatud kontrollimeetmete, juurdepääsu, krüpteerimistavade kontrolli ja isikuandmetega seotud rikkumisele reageerimise kava kohta; kui kolmandast isikust IKT-teenuste osutaja suhtes kohaldatakse isikuandmete töötlemisega seoses kolmandate riikide õigusakte, sh kolmanda riigi valitsuse juurdepääsu taotlusi, siis kõnealuste riikide ja õigusaktide loetelu;

i)

teave mehhanismide kohta, mida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja pakub liidu finantssektori ettevõtjatele andmete ülekantavuse, rakenduste ülekantavuse ja koostalitlusvõime eesmärgil;

j)

teave finantssektori ettevõtjatele teenuste osutamiseks kasutatavate andmekeskuste ja IKT tootmiskeskuste asukoha kohta, sh loetelu kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja kõigist asjakohastest ruumidest ja rajatistest, sh väljaspool liitu;

k)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja poolt kolmandate riikide kaudu osutatavate teenuste kohta, sh teave asjakohaste õigussätete kohta, mida kohaldatakse kolmandast isikust IKT-teenuste osutaja töödeldavate isikuandmete ja muude andmete suhtes;

l)

teave meetmete kohta, mis on võetud selleks, et maandada kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja ja tema kolmandatest riikidest pärit alltöövõtjate osutatavatest IKT-teenustest tulenevaid riske;

m)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja ja tema alltöövõtjate riskijuhtimisraamistiku ja intsidentide haldamise raamistiku kohta, sh nende tegevuspõhimõtted, menetlused, vahendid, mehhanismid ja juhtimiskorraldused ning loetelu tõsistest intsidentidest, mis avaldavad otsest või kaudset mõju liidu finantssektori ettevõtjatele, ning nende kirjeldus, sh asjakohased andmed, mis võimaldavad määrata kindlaks, kui olulist mõju intsident finantssektori ettevõtjatele avaldas, ning võimaldavad hinnata võimalikku piiriülest mõju;

n)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja ja tema alltöövõtjate muudatuste juhtimise raamistiku kohta, sh tegevuspõhimõtted, menetlused ja kontrollid;

o)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja üldise reageerimise ja taastamise raamistiku kohta, sh talitluspidevuse plaanid ning nendega seotud kord ja menetlused, tarkvaraarenduse olelusringi põhimõtted, reageerimis- ja taastekavad ning nendega seotud kord ja menetlused ning varundamispõhimõtete kord ja menetlused;

p)

teave tulemuslikkuse järelevalve, turvalisuse järelevalve ja intsidentide järelevalve kohta, samuti teave teenuste osutamise ja intsidentidega seotud aruandlusmehhanismide ja selle kohta, kas järgitakse sõlmitud teenustaseme kokkuleppeid ning teenustaseme eesmärke või sarnaseid kokkuleppeid kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate ja liidu finantssektori ettevõtjate vahel;

q)

teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja kolmanda isiku IKT haldamisraamistiku kohta, sh strateegiad, tegevuspõhimõtted, menetlused, protsessid ja kontrollid, sh andmed kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja hoolsuskohustuse ja riskihindamise kohta tema alltöövõtjate puhul enne nendega lepingu sõlmimist ja omavahelise suhte jälgimiseks, mis hõlmab kõiki asjakohaseid IKT ja vastaspoole riske;

r)

väljavõtted kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja ja tema alltöövõtjate seire- ja skannimissüsteemidest, mis hõlmavad muu hulgas võrguseiret, serverite seiret, rakenduste seiret, turvaseiret, nõrkuseotsingut, logide haldamist, tulemuslikkuse seiret, intsidentide haldamist ja mõõtmist usaldusväärsuse eesmärkide, näiteks teenustaseme eesmärkide alusel;

s)

väljavõtted mis tahes tootmis-, tootmiseelse ja testimisetapi süsteemist või rakendusest, mida kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja ja tema alltöövõtjad kasutavad, et osutada otseselt või kaudselt liidus finantssektori ettevõtjatele teenuseid;

t)

nõuetele vastavuse aruanded ja kättesaadavad auditiaruanded ning mis tahes asjakohased auditileiud, sh auditid, mille riiklikud asutused on teinud liidus ja väljaspool liitu, kui asjaomaste asutustega sõlmitud koostöökokkulepetes on see teabevahetus ette nähtud, või sertifikaadid, mille kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja või tema alltöövõtjad on saanud, sh aruanded sise- ja välisaudiitoritelt, sertifikaadid või sektoripõhistele standarditele vastavuse hinnangud. See hõlmab teavet kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja IKT süsteemide vastupidavuse mis tahes liiki kättesaadava sõltumatu testimise kohta, sh kolmandast isikust IKT-teenuste osutaja tehtud mis tahes liiki ohuteabel põhineva läbistustestimise kohta;

u)

teavet kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja poolt või tema nimel tehtud hindamiste kohta, milles hinnatakse kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajas olulistel ametikohtadel olevate isikute sobivust ja usaldusväärsust;

v)

teavet artikli 3 kohaselt esitatud soovituste arvesse võtmiseks kasutatava mis tahes parandusmeetmete kava kohta ning seotud asjakohast teavet, mis kinnitab, et parandusmeetmed on rakendatud;

w)

teavet olemasolevate töötajate koolituskavade ja turvateadlikkuse programmide kohta, sh vajaduse korral teavet kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja investeeringute, ressursside ja meetodite kohta, et koolitada oma töötajaid tundlikke finantsandmeid käitlema ja turvalisuse kõrget taset säilitama;

x)

teavet kriitilise tähtsusega kolmandast isikust IKT-teenuste osutaja tegevuse kohta ning finantsaruandeid, sh teavet IKT ja turvalisusega seotud eelarve ja ressursside kohta.