+Third-party Critical Subcontracting Management

Third-party Critical Subcontracting Management

Delineate critical and important ICT services in contracts with third-party ICT service providers, specifying conditions for subcontracting. Require continual monitoring of subcontracted services supporting critical functions to ensure compliance with contractual obligations. Detail monitoring and reporting responsibilities of the third-party service provider to the financial entity, including risk assessments related to subcontractor locations and data ownership. Mandate incident response and business continuity plans for subcontractors, along with adherence to specified service levels and security standards. Retain termination rights for the financial entity in cases of unauthorized subcontracting or failure to meet agreed-upon service levels. Implement changes relative to contractual agreements as soon as possible and document the planned timeline for the implementation.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 26 artikla 4

4.   Rajoittamatta 2 kohdan ensimmäisen ja toisen alakohdan soveltamista kun voidaan kohtuudella odottaa, että 3 kohdassa tarkoitettu TVT-palveluntarjoajana olevan kolmannen osapuolen osallistuminen uhkaperusteiseen tunkeutumistestaukseen vaikuttaa kielteisesti niiden palvelujen laatuun tai turvallisuuteen, joita TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa asiakkaille, jotka ovat tämän asetuksen soveltamisalan ulkopuolisia yhteisöjä, taikka tällaisiin palveluihin liittyvien tietojen luottamuksellisuuteen, finanssiyhteisö ja TVT-palveluntarjoajana oleva kolmas osapuoli voivat sopia kirjallisesti, että TVT-palveluntarjoajana oleva kolmas osapuoli tekee suoraan sopimusjärjestelyjä ulkopuolisen testaajan kanssa yhdistetyn uhkaperusteisen tunkeutumistestauksen toteuttamiseksi yhden nimetyn finanssiyhteisön johdolla siten, että siihen osallistuu useita sellaisia finanssiyhteisöjä (yhdistetty testaus), joille TVT-palveluntarjoajana oleva kolmas osapuoli tarjoaa TVT-palveluja.

Kyseisen yhdistetyn testauksen on katettava asiaankuuluvat TVT-palvelut, jotka tukevat kriittisiä tai tärkeitä toimintoja, joista finanssiyhteisöt ovat tehneet sopimuksen kyseisen TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa. Yhdistettyä testausta on pidettävä yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen suorittamana uhkaperusteisena tunkeutumistestauksena.

Yhdistettyyn testaukseen osallistuvien finanssiyhteisöjen lukumäärä on kalibroitava asianmukaisesti ottaen huomioon asiaan liittyvien palvelujen monimutkaisuus ja tyypit.
EULAW 30 artikla 3

3.   Kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin on sisällyttävä 2 kohdassa tarkoitettujen seikkojen lisäksi ainakin seuraavat:

a)

kattavat palvelutason kuvaukset, mukaan lukien niiden päivitykset ja tarkistukset, sekä täsmälliset määrälliset ja laadulliset suoritustavoitteet sovittujen palvelutasojen sisällä, jotta finanssiyhteisö voi tosiasiallisesti seurata TVT-palveluja ja jotta voidaan ilman aiheetonta viivytystä toteuttaa asianmukaisia korjaustoimia, kun sovittuja palvelutasoja ei saavuteta;

b)

TVT-palveluntarjoajana olevan kolmannen osapuolen irtisanomisajat ja raportointivelvoitteet suhteessa finanssiyhteisöön, mukaan lukien ilmoittaminen kaikesta sellaisesta kehityksestä, jolla saattaa olla olennainen vaikutus TVT-palveluntarjoajana olevan kolmannen osapuolen kykyyn tosiasiallisesti tarjota kriittisiä tai tärkeitä toimintoja tukevia TVT-palveluja sovittujen palvelutasojen mukaisesti;

c)

TVT-palveluntarjoajana olevalle kolmannelle osapuolelle asetetut vaatimukset toteuttaa ja testata liiketoiminnan jatkuvuussuunnitelmia ja ottaa käyttöön TVT:hen liittyviä turvallisuustoimenpiteitä, -välineitä ja -periaatteita, joilla varmistetaan riittävän tasoinen turvallisuus kun finanssiyhteisö tarjoaa palveluja sääntelykehyksensä mukaisesti;

d)

TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus osallistua 26 ja 27 artiklassa tarkoitettuun finanssiyhteisön uhkaperusteiseen tunkeutumistestaukseen ja tehdä sen yhteydessä täysimääräistä yhteistyötä;

e)

oikeus seurata jatkuvasti TVT-palveluntarjoajana olevan kolmannen osapuolen suoriutumista, mihin kuuluu

i)

finanssiyhteisön tai jonkin nimetyn kolmannen osapuolen ja toimivaltaisen viranomaisen rajoittamaton oikeus tutustua asiaankuuluvaan dokumentaation ja tutkia ja auditoida sitä sekä oikeus ottaa siitä jäljennöksiä paikalla, jos ne ovat kriittisiä TVT-palveluntarjoajana olevan kolmannen osapuolen toiminnan kannalta, ilman, että muut sopimusjärjestelyt tai toteutusperiaatteet estävät tai rajoittavat tämän oikeuden tosiasiallista käyttöä;

ii)

oikeus sopia vaihtoehtoisista varmuustasoista, jos muiden asiakkaiden oikeuksiin kohdistuu vaikutuksia;

iii)

TVT-palveluntarjoajana olevan kolmannen osapuolen velvollisuus tehdä täysimääräistä yhteistyötä toimivaltaisten viranomaisten, päävalvojan, finanssiyhteisön tai nimetyn kolmannen osapuolen paikalla tekemien tarkastusten ja auditointien aikana; ja

iv)

velvollisuus antaa yksityiskohtaiset tiedot tällaisten tarkastusten ja auditointien laajuudesta, niissä noudatettavista menettelyistä ja niiden tiheydestä;

f)

irtautumisstrategiat, erityisesti riittävän pitkä pakollinen siirtymäkausi

i)

jonka aikana TVT-palveluntarjoajana oleva kolmas osapuoli jatkaa asianomaisten toimintojen tai TVT-palvelujen tarjoamista finanssiyhteisön häiriöriskin pienentämiseksi tai tilanteen tehokkaan ratkaisemisen tai uudelleenjärjestämisen varmistamiseksi;

ii)

joka antaa finanssiyhteisölle mahdollisuuden siirtyä toiseen TVT-palveluntarjoajana olevaan kolmanteen osapuoleen tai vaihtaa sisäisiin ratkaisuihin tarjotun palvelun monitahoisuutta vastaavasti.

Poiketen siitä, mitä e alakohdassa säädetään, TVT-palveluntarjoajana oleva kolmas osapuoli ja finanssiyhteisö, joka on mikroyritys, voivat sopia, että finanssiyhteisön pääsy-, tarkastus- ja auditointioikeudet voidaan siirtää riippumattomalle kolmannelle osapuolelle, jonka TVT-palveluntarjoajana oleva kolmas osapuoli nimittää, ja että finanssiyhteisö voi milloin tahansa pyytää kolmannelta osapuolelta tietoja ja vakuutuksen TVT-palveluntarjoajana olevan kolmannen osapuolen suoriutumisesta.
EULAW 30 artikla 4

4.   Sopimusjärjestelyistä neuvotellessaan finanssiyhteisöjen ja TVT-palveluntarjoajina toimivien kolmansien osapuolien on harkittava viranomaisten yksittäisiä palveluja varten laatimien mallisopimuslausekkeiden käyttöä.