2 artikla Niiden tietojen sisältö, rakenne ja muoto, jotka kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten on toimitettava, julkistettava tai raportoitava

a)

tiedot järjestelyistä ja jäljennökset sopimusasiakirjoista seuraavien välillä:

b)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen organisaatio- ja konsernirakenteesta, mukaan lukien tunnistetiedot kaikista samaan konserniin kuuluvista yhteisöistä, jotka tarjoavat unionissa TVT-palveluja finanssiyhteisöille suoraan tai välillisesti;

c)

tiedot seuraavien yhteisöjen suurimmista osakkeenomistajista, mukaan lukien niiden rakenne ja maantieteellinen jakauma:

d)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen markkinaosuudesta kunkin palvelutyypin osalta niillä merkityksellisillä markkinoilla, joilla se toimii;

e)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen sisäisistä hallintojärjestelyistä, mukaan lukien hallintovastuurakenne ja vastuuvelvollisuussäännöt;

f)

kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen ylimmän hallintoelimen ja muiden sellaisten asiaankuuluvien sisäisten komiteoiden kokouspöytäkirjat, jotka liittyvät jollakin tavalla finanssiyhteisöjen toimintoja tukeviin TVT-palveluihin liittyviin toimiin ja riskeihin unionissa;

g)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-turvallisuudesta, mukaan lukien asiaankuuluvat strategiat, tavoitteet, toimintaperiaatteet, menettelyt, protokollat, prosessit, valvontatoimenpiteet arkaluonteisten tietojen suojaamiseksi, pääsynvalvonta, salauskäytännöt ja poikkeamia koskevat valmiussuunnitelmat, sekä tiedot kaikkien asiaankuuluvien säännösten ja tapauksen mukaan kansallisten ja kansainvälisten standardien noudattamisesta;

h)

tiedot teknisistä ja organisatorisista toimenpiteistä, joilla varmistetaan tietosuoja ja tietojen luottamuksellisuus, mukaan lukien henkilötiedot ja muut kuin henkilötiedot, toteutetut valvontatoimenpiteet arkaluonteisten tietojen suojaamiseksi, pääsynvalvonta, salauskäytännöt ja tietoturvaloukkauksia koskeva valmiussuunnitelma; jos TVT-palveluntarjoajana olevaan kolmanteen osapuoleen sovelletaan henkilötietojen käsittelyn osalta kolmansien maiden lainsäädäntöä, mukaan lukien kolmannen maan viranomaisten oikeutta pyytää pääsy tietoihin, luettelo kyseisistä maista ja sovellettavat lait;

i)

tiedot mekanismeista, joita kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa unionin finanssiyhteisöille datan siirrettävyyttä, sovellusten siirrettävyyttä ja yhteentoimivuutta varten;

j)

tiedot niiden datakeskusten ja TVT-tuotantokeskusten sijainnista, joita käytetään palvelujen tarjoamiseen finanssiyhteisöille, mukaan lukien luettelo kaikista kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen asiaankuuluvista toimitiloista, myös unionin ulkopuolella;

k)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen tarjoamista palveluista, jotka ovat peräisin kolmansista maista, mukaan lukien tiedot TVT-palveluntarjoajana olevan kolmannen osapuolen käsittelemiin henkilötietoihin ja muihin kuin henkilötietoihin sovellettavista asiaa koskevista säännöksistä;

l)

tiedot toimenpiteistä, jotka on toteutettu sellaisten riskien lieventämiseksi, jotka aiheutuvat siitä, että kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli ja sen alihankkijat tarjoavat kolmansista maista peräisin olevia TVT-palveluja;

m)

tiedot riskinhallintakehyksestä ja poikkeamien hallintakehyksestä, erityisesti kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen ja sen alihankkijoiden toimintaperiaatteet, menettelyt, välineet, mekanismit ja hallintojärjestelyt, mukaan lukien unionin finanssiyhteisöihin suoraan tai välillisesti vaikuttavien laajavaikutteisten poikkeamien luettelo ja kuvaus, joihin sisältyvien tietojen perusteella voidaan määrittää poikkeaman merkittävyys finanssiyhteisöjen kannalta ja arvioida mahdolliset rajatylittävät vaikutukset;

n)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen ja sen alihankkijoiden muutoksenhallintakehyksestä, mukaan lukien toimintaperiaatteet, menettelyt ja valvonta;

o)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen yleisestä reagointi- ja palautumiskehyksestä, mukaan lukien liiketoiminnan jatkuvuussuunnitelmat ja niihin liittyvät järjestelyt ja menettelyt, ohjelmistokehityksen elinkaaripolitiikka, reagointi- ja palautumissuunnitelmat ja niihin liittyvät järjestelyt ja menettelyt sekä varmuuskopiointikäytännöt ja -menettelyt;

p)

tiedot suorituskyvyn seurannasta, turvallisuuden seurannasta ja poikkeamien seurannasta sekä tiedot raportointimekanismeista, jotka liittyvät palveluasteeseen, poikkeamiin ja kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten ja unionin finanssiyhteisöjen välillä sovittujen palvelutasosopimusten ja palvelujen tavoitetasojen tai vastaavien järjestelyjen noudattamiseen;

q)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen käyttämästä TVT-palveluntarjoajana olevien kolmansien osapuolten riskienhallintakehyksestä, mukaan lukien strategiat, toimintaperiaatteet, menettelyt, prosessit ja valvontatoimet sekä yksityiskohtaiset tiedot asianmukaisen huolellisuuden ja riskien arvioinnista, jonka kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli suorittaa alihankkijoille ennen sopimuksen tekemistä niiden kanssa ja jonka avulla tätä suhdetta seurataan kaikkien asiaankuuluvien TVT- ja vastapuoliriskien osalta;

r)

kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen ja sen alihankkijoiden seuranta- ja kartoitusjärjestelmistä poimitut otteet, jotka kattavat muun muassa verkon, palvelinten, sovellusten ja tietoturvan seurannan, haavoittuvuuskartoitukset, lokitietojen hallinnan, suorituskyvyn seurannan, poikkeamien hallinnan ja luotettavuustavoitteita (kuten palvelujen tavoitetasoja) koskevat mittaukset;

s)

otteet kaikista tuotanto-, valmistelu- ja testausjärjestelmistä tai -sovelluksista, joita kriittinen TVT-palveluntarjoajana oleva kolmas osapuoli ja sen alihankkijat käyttävät palvelujen tarjoamiseksi suoraan tai välillisesti finanssiyhteisöille unionissa;

t)

vaatimustenmukaisuuskertomukset ja saatavilla olevat auditointiraportit sekä auditoinneissa tehdyt merkittävät havainnot, mukaan lukien kansallisten viranomaisten unionissa ja unionin ulkopuolella tekemät auditoinnit, jos asianomaisten viranomaisten kanssa tehdyissä yhteistyösopimuksissa määrätään tällaisesta tietojenvaihdosta, tai kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen tai sen alihankkijoiden saamat sertifioinnit, mukaan lukien sisäisten ja ulkoisten tarkastajien raportit, sertifioinnit tai toimialakohtaisten standardien noudattamista koskevat arvioinnit. Tähän sisältyvät tiedot kaikenlaisista saatavilla olevista kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-järjestelmien häiriönsietokyvyn riippumattomista testauksista, mukaan lukien kaikenlaiset TVT-palveluntarjoajana olevan kolmannen osapuolen suorittamat uhkaperusteiset tunkeutumistestaukset;

u)

tiedot mahdollisista kriittisessä TVT-palveluntarjoajana olevassa kolmannessa osapuolessa keskeisissä tehtävissä olevien henkilöiden soveltuvuuden ja luotettavuuden arvioinneista, jotka on tehty kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen pyynnöstä tai puolesta;

v)

tiedot mahdollisista korjaussuunnitelmista 3 artiklan mukaisten suositusten noudattamiseksi ja tiedot, jotka osoittavat, että korjaavia toimenpiteitä on toteutettu;

w)

tiedot saatavilla olevista työntekijöiden koulutusohjelmista ja turvallisuutta koskevista valistusohjelmista, mukaan lukien mahdolliset tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen investoinneista, resursseista ja menetelmistä, jotka liittyvät henkilöstön kouluttamiseen arkaluonteisten rahoitustietojen käsittelemiseksi ja korkean turvallisuustason ylläpitämiseksi;

x)

tiedot kriittisen TVT-palveluntarjoajana olevan kolmannen osapuolen toiminnoista ja tilinpäätökset, mukaan lukien tiedot TVT- ja turvallisuusbudjetista ja -resursseista.