Članak 4. Uvjeti pod kojima se mogu podugovoriti IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi

(a)

da je treća strana pružatelj IKT usluga odgovorna za pružanje usluga koje pružaju njezini podugovaratelji;

(b)

da je treća strana pružatelj IKT usluga dužna pratiti sve podugovorene IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi kako bi osigurala kontinuirano ispunjavanje svojih ugovornih obveza prema financijskom subjektu;

(c)

obveze praćenja i izvješćivanja koje treća strana pružatelj IKT usluga ima prema financijskom subjektu u pogledu podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi;

(d)

da treća strana pružatelj IKT usluga treba procijeniti sve rizike povezane s lokacijom postojećih ili potencijalnih podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi te one povezane s njihovim matičnim društvom i lokacijom s koje se pruža predmetna IKT usluga;

(e)

prema potrebi, lokacija podataka koje obrađuje ili pohranjuje podugovaratelj;

(f)

da treća strana pružatelj IKT usluga u svojem ugovoru s podugovarateljima treba navesti obveze praćenja i izvješćivanja koje taj podugovaratelj ima prema trećoj strani pružatelju IKT usluga i, ako je tako dogovoreno, prema financijskom subjektu;

(g)

da je treća strana pružatelj IKT usluga dužna osigurati kontinuitet IKT usluga kojima se podupiru ključne ili važne funkcije u cijelom lancu podugovaratelja u slučaju da podugovaratelj koji pruža IKT usluge ne ispuni svoje ugovorne obveze;

(h)

da ugovorni aranžman sklopljen između treće strane pružatelja IKT usluga i njezinih podugovaratelja treba sadržavati zahtjeve u pogledu planova za nepredvidive situacije u poslovanju iz članka 30. stavka 3. točke (c) Uredbe (EU) 2022/2554 i da se u njemu trebaju utvrditi razine usluga koje podugovaratelji koji pružaju IKT usluge moraju moći dosegnuti u vezi s tim planovima;

(i)

da se u ugovornom aranžmanu sklopljenom između treće strane pružatelja IKT usluga i njezinih podugovaratelja trebaju utvrditi standardi sigurnosti IKT-a i svi dodatni sigurnosni zahtjevi iz članka 30. stavka 3. točke (c) Uredbe (EU) 2022/2554;

(j)

da podugovaratelj financijskom subjektu i relevantnim nadležnim i sanacijskim tijelima treba dodijeliti ista prava na pristup, inspekcijski nadzor i reviziju kao ona iz članka 30. stavka 3. točke (e) Uredbe (EU) 2022/2554;

(k)

da treća strana pružatelj IKT usluga treba obavijestiti financijski subjekt o svim bitnim promjenama podugovornih aranžmana;

(l)

da financijski subjekt ima pravo raskinuti ugovor s trećom stranom pružateljem IKT usluga ako su ispunjeni uvjeti utvrđeni u članku 6. ove Uredbe ili uvjeti utvrđeni u članku 28. stavku 7. Uredbe (EU) 2022/2554.