Članak 2. Sadržaj, struktura i format informacija koje trebaju dostaviti, objaviti ili o kojima trebaju izvijestiti ključne treće strane pružatelji IKT usluga

(a)

informacije o aranžmanima i preslike ugovornih dokumenata između:

(b)

informacije o organizacijskoj strukturi i strukturi grupe ključne treće strane pružatelja IKT usluga, uključujući identifikaciju svih subjekata koji pripadaju istoj grupi, koja izravno ili neizravno pruža IKT usluge financijskim subjektima u Uniji;

(c)

informacije o glavnim dioničarima, uključujući njihovu strukturu i zemljopisnu raširenost, bilo kojeg od sljedećeg:

(d)

informacije o tržišnom udjelu ključne treće strane pružatelja IKT usluga prema vrsti usluga na relevantnim tržištima na kojima posluje;

(e)

informacije o mehanizmima unutarnjeg upravljanja ključne treće strane pružatelja IKT usluga, uključujući strukturu s linijama upravljačke odgovornosti i pravilima o odgovornosti;

(f)

zapisnike sa sastanaka upravljačkog tijela ključne treće strane pružatelje IKT usluga i svih drugih internih relevantnih odbora, koji se na bilo koji način odnose na aktivnosti i rizike povezane s IKT uslugama trećih strana kojima se podupiru funkcije financijskih subjekata u Uniji;

(g)

informacije o sigurnosti IKT-a ključne treće strane pružatelja IKT usluga, uključujući relevantne strategije, ciljeve, politike, postupke, protokole, procese, kontrolne mjere za zaštitu osjetljivih podataka, kontrole pristupa, prakse šifriranja, planove odgovora na incidente i informacije o usklađenosti sa svim relevantnim propisima te, prema potrebi, nacionalnim i međunarodnim normama;

(h)

informacije o tehničkim i organizacijskim mjerama za osiguravanje zaštite i povjerljivosti podataka, uključujući osobne i neosobne podatke, provedenim kontrolnim mjerama za zaštitu osjetljivih podataka, kontrolama pristupa, praksama šifriranja i planu za odgovor na povredu podataka; kad je riječ o obradi osobnih podataka, treća strana pružatelj IKT usluga podliježe zakonima trećih zemalja, uključujući zahtjev vlada trećih zemalja za pristup, popis zemalja i primjenjive zakone;

(i)

informacije o mehanizmima za prenosivost podataka, prenosivost aplikacija i interoperabilnost koje ključna treća strana pružatelj IKT usluga nudi financijskim subjektima u Uniji;

(j)

informacije o lokaciji podatkovnih centara i proizvodnih centara za IKT koji se upotrebljavaju za potrebe pružanja usluga financijskim subjektima, uključujući popis svih relevantnih poslovnih prostora i objekata ključne treće strane pružatelja IKT usluga, među ostalim izvan Unije;

(k)

informacije o pružanju usluga ključne treće strane pružatelja IKT usluga iz trećih zemalja, uključujući informacije o relevantnim pravnim odredbama koje se primjenjuju na osobne i neosobne podatke koje obrađuje ta treća strana pružatelj IKT usluga;

(l)

informacije o mjerama poduzetima za nošenje s rizicima koji proizlaze iz pružanja IKT usluga ključne treće strane pružatelja IKT usluga i njezinih podugovaratelja iz trećih zemalja;

(m)

informacije o okviru za upravljanje rizicima i okviru za upravljanje incidentima, koje obuhvaćaju politike, postupke, alate, mehanizme i aranžmane upravljanja ključne treće strane pružatelja IKT usluga i njezinih podugovaratelja, među ostalim popis i opis značajnih incidenata s izravnim ili neizravnim učinkom na financijske subjekte u Uniji, te relevantne pojedinosti za utvrđivanje važnosti incidenta za financijske subjekte i procjenu mogućih prekograničnih učinaka;

(n)

informacije o okviru za upravljanje promjenama, koje uključuju politike, postupke i kontrole ključne treće strane pružatelja IKT usluga i njezinih podugovaratelja;

(o)

informacije o općem okviru za odgovor i oporavak ključne treće strane pružatelja IKT usluga, uključujući planove kontinuiteta poslovanja i povezane aranžmane i postupke, politiku životnog ciklusa razvoja softvera, planove odgovora i oporavka i povezane aranžmane i postupke te aranžmane i postupke za izradu sigurnosnih kopija;

(p)

informacije o praćenju uspješnosti, sigurnosti i incidenata te informacije o mehanizmima izvješćivanja o uspješnosti usluga, incidentima i usklađenosti s dogovorenim sporazumima o razini usluga i ciljevima u pogledu razine usluga ili sličnim aranžmanima između ključnih trećih strana pružatelja IKT usluga i financijskih subjekata u Uniji;

(q)

informacije o okviru upravljanja trećim stranama pružateljima IKT usluga ključne treće strane pružatelja IKT usluga, uključujući strategije, politike, postupke, procese i kontrole te pojedinosti o dubinskoj analizi i procjeni rizika koju ključna treća strana pružatelj IKT usluga provodi nad svojim podugovarateljima prije sklapanja sporazuma s njima te radi praćenja tog odnosa što obuhvaća sve relevantne IKT rizike i rizike druge ugovorne strane;

(r)

izvatke iz sustava za praćenje i skeniranje ključne treće strane pružatelja IKT usluga i njezinih podugovaratelja, koji obuhvaćaju, ali nisu ograničeni na: praćenje mreže, praćenje poslužitelja, praćenje aplikacija, praćenje sigurnosti, skeniranje ranjivosti, upravljanje zapisima, praćenje uspješnosti, upravljanje incidentima i mjerenja u odnosu na ciljeve pouzdanosti, kao što su ciljevi u pogledu razine usluga;

(s)

izvatke iz bilo kojeg produkcijskog, pretprodukcijskog i ispitnog sustava ili aplikacije koje ključna treća strana pružatelj IKT usluga i njezini podugovaratelji upotrebljavaju za izravno ili neizravno pružanje usluga financijskim subjektima u Uniji;

(t)

izvješća o usklađenosti i dostupna revizijska izvješća, kao i sve relevantne nalaze revizija, uključujući revizije koje provode nacionalna tijela u Uniji i izvan nje ako je sporazumima o suradnji s relevantnim tijelima predviđena takva razmjena informacija, ili certifikate koje je ishodila ključna treća strana pružatelj IKT usluga ili njezini podugovaratelji, uključujući izvješća unutarnjih i vanjskih revizora, certifikate ili ocjene usklađenosti s industrijskim normama. To uključuje informacije o svim vrstama dostupnih neovisnih testiranja otpornosti IKT sustava ključne treće strane pružatelja IKT usluga, uključujući sve vrste penetracijskog testiranja vođenog prijetnjama koje provodi treća strana pružatelj IKT usluga;

(u)

informacije o svim procjenama koje je ključna treća strana pružatelj IKT usluga provela na njegov zahtjev ili u njegovo ime kojima se ocjenjuje prikladnost i integritet pojedinaca na ključnim položajima u ključnoj trećoj strani pružatelju IKT usluga;

(v)

informacije o svim planovima za ispravljanje nedostataka namijenjenima provedbi preporuka u skladu s člankom 3. i relevantne povezane informacije kojima se potvrđuje provedba korektivnih mjera;

(w)

informacije o dostupnim programima osposobljavanja zaposlenika i programima informiranja o sigurnosti, uključujući, prema potrebi, informacije o ulaganjima, resursima i metodama ključne treće strane pružatelja IKT usluga u osposobljavanju njegova osoblja za postupanje s osjetljivim financijskim podacima i održavanje visoke razine sigurnosti;

(x)

informacije o aktivnostima ključne treće strane pružatelja IKT usluga i financijskim izvještajima, uključujući informacije o proračunu i sredstvima povezanima s IKT-om i sigurnošću.