6.   Kun finanssiyhteisöt käyttävät TVT-palveluntarjoajana olevan kolmannen osapuolen suhteen pääsy-, tarkastus- ja auditointioikeutta, niiden on riskiperusteisen lähestymistavan perusteella määritettävä ennalta auditointien ja tarkastusten tiheys samoin kuin auditoitavat alueet noudattaen yleisesti hyväksyttyjä auditointistandardeja tällaisten auditointistandardien käytöstä ja niiden noudattamisesta mahdollisesti annettujen valvontaohjeiden mukaisesti.

Jos TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehdyt TVT-palvelujen käyttöä koskevat sopimusjärjestelyt ovat teknisesti hyvin monimutkaisia, finanssiyhteisön on varmistettava, että auditoijilla, joko sisäisillä tai ulkopuolisilla taikka auditointiryhmillä, on asianmukaiset taidot ja tiedot asiaankuuluvien auditointien ja arviointien tuloksellista suorittamista varten.

3.   Kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin on sisällyttävä 2 kohdassa tarkoitettujen seikkojen lisäksi ainakin seuraavat:

Poiketen siitä, mitä e alakohdassa säädetään, TVT-palveluntarjoajana oleva kolmas osapuoli ja finanssiyhteisö, joka on mikroyritys, voivat sopia, että finanssiyhteisön pääsy-, tarkastus- ja auditointioikeudet voidaan siirtää riippumattomalle kolmannelle osapuolelle, jonka TVT-palveluntarjoajana oleva kolmas osapuoli nimittää, ja että finanssiyhteisö voi milloin tahansa pyytää kolmannelta osapuolelta tietoja ja vakuutuksen TVT-palveluntarjoajana olevan kolmannen osapuolen suoriutumisesta.

1.   Finanssiyhteisöjen on hallinnoitava kolmansiin osapuoliin liittyvää TVT-riskiä erottamattomana osana TVT-riskiä 6 artiklan 1 kohdassa tarkoitetun TVT-riskinhallintajärjestelmänsä puitteissa ja seuraavien periaatteiden mukaisesti:

2.   Finanssiyhteisöjen, jotka ovat muita kuin 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuja yhteisöjä sekä muita kuin mikroyrityksiä, on osana TVT-riskinhallintajärjestelmäänsä hyväksyttävä kolmansiin osapuoliin liittyvää TVT-riskiä koskeva strategia ja tarkistettava sitä säännöllisesti, ottaen tapauksen mukaan huomioon 6 artiklan 9 kohdassa tarkoitettu usean toimittajan tarjoamien TVT-toimitusten strategia. Kolmansiin osapuoliin liittyvää TVT-riskiä koskevassa strategiassa on määriteltävä TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevat toimintaperiaatteet, joita on sovellettava sekä yksittäisten yhteisöjen että tarvittaessa alakonsolidointiryhmien ja konsolidointiryhmien tasolla. Ylimmän hallintoelimen on finanssiyhteisön kokonaisriskiprofiilin sekä liike-elämän palvelujen laajuuden ja monitahoisuuden arvioinnin perusteella tarkasteltava säännöllisesti uudelleen havaittuja riskejä, jotka liittyvät kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskeviin sopimusjärjestelyihin.

3.   Finanssiyhteisöjen on osana TVT-riskinhallintajärjestelmäänsä pidettävä yllä ja päivitettävä yhteisön tasolla sekä alakonsolidointiryhmien ja konsolidointiryhmien tasolla tietorekisteriä kaikista TVT-palveluntarjoajana olevien kolmansien osapuolten tarjoamien TVT-palvelujen käyttöä koskevista sopimusjärjestelyistä.

Ensimmäisessä alakohdassa tarkoitetut sopimusjärjestelyt on dokumentoitava asianmukaisesti siten, että toisistaan erotetaan järjestelyt, jotka kattavat kriittisiä tai tärkeitä toimintoja tukevat TVT-palvelut, ja ne, jotka eivät kata näitä.

Finanssiyhteisöjen on raportoitava toimivaltaisille viranomaisille vähintään vuosittain TVT-palvelujen käyttöä koskevien uusien järjestelyjen määrästä, TVT-palveluntarjoajana olevien kolmansien osapuolten ryhmistä, sopimusjärjestelyjen tyypistä ja tarjotuista TVT-palveluista ja toiminnoista.

Finanssiyhteisöjen on toimitettava toimivaltaiselle viranomaiselle sen pyynnöstä tietorekisteri kokonaisuudessaan tai pyynnön mukaan sen tietyt osat sekä kaikki finanssiyhteisön tehokasta valvontaa varten tarpeellisiksi katsotut tiedot.

Finanssiyhteisöjen on ilmoitettava toimivaltaiselle viranomaiselle hyvissä ajoin kaikista kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevista suunnitelluista sopimusjärjestelyistä sekä siitä, että jostakin toiminnosta on tullut kriittinen tai tärkeä.

4.   Ennen kuin finanssiyhteisöt tekevät TVT-palvelujen käyttöä koskevan sopimusjärjestelyn, niiden on

5.   Finanssiyhteisöt voivat tehdä sopimusjärjestelyjä vain sellaisten TVT-palveluntarjoajana olevien kolmansien osapuolten kanssa, jotka noudattavat asianmukaisia tietoturvastandardeja. Kun kyseiset sopimusjärjestelyt koskevat kriittisiä tai tärkeitä toimintoja, finanssiyhteisöjen on ennen järjestelyjen tekemistä otettava asianmukaisesti huomioon se, miten TVT-palveluntarjoajana olevat kolmannet osapuolet käyttävät uusimpia ja korkealaatuisimpia tietoturvastandardeja.

7.   Finanssiyhteisöjen on varmistettava, että TVT-palvelujen käyttöä koskevat sopimusjärjestelyt voidaan irtisanoa missä tahansa seuraavista olosuhteista:

8.   Kun kyseessä ovat kriittisiä tai tärkeitä toimintoja tukevat TVT-palvelut, finanssiyhteisöjen on otettava käyttöön irtautumisstrategiat. Irtautumisstrategioissa on otettava huomioon mahdolliset TVT-palveluntarjoajana olevien kolmansien osapuolten tasolla ilmenevät riskit, erityisesti niiden mahdollinen vikaantuminen, tarjottujen TVT-palvelujen laadun heikkeneminen, virheellisestä tai viallisesta TVT-palvelujen tarjonnasta johtuvat liiketoiminnan keskeytymiset tai kaikki olennaiset riskit, jotka aiheutuvat asianomaisen TVT-palvelun asianmukaisesta ja jatkuvasta käytöstä tai TVT-palveluntarjoajana olevan kolmannen osapuolen kanssa tehtyjen sopimusjärjestelyjen päättymisestä jossakin 7 kohdassa tarkoitetuista tilanteista.

Finanssiyhteisöjen on varmistettava, että ne voivat irtautua sopimusjärjestelyistä ilman, että

Irtautumissuunnitelmien on oltava kattavia, dokumentoituja, ja niiden on 4 artiklan 2 kohdassa vahvistettujen kriteerien mukaisesti oltava riittävästi testattuja ja säännöllisesti uudelleen tarkasteltuja.

Finanssiyhteisöjen on määritettävä vaihtoehtoisia ratkaisuja ja laadittava siirtymäsuunnitelmia, joiden avulla ne voivat poistaa sopimusten kattamat TVT-palvelut ja niihin liittyvän datan TVT-palveluntarjoajana olevilta kolmansilta osapuolilta ja siirtää ne turvallisesti ja kokonaisuudessaan vaihtoehtoisille palveluntarjoajille tai integroida ne uudelleen yhteisön sisällä.

Finanssiyhteisöillä on oltava käytössään asianmukaiset varotoimenpiteet liiketoiminnan jatkuvuuden ylläpitämiseksi ensimmäisessä alakohdassa tarkoitetuissa tilanteissa.