Članak 6. Dubinska analiza

(a)

ima li poslovni ugled, dostatne sposobnosti, stručno znanje i odgovarajuće financijske, ljudske i tehničke resurse, standarde informacijske sigurnosti, odgovarajuću organizacijsku strukturu, postupke upravljanje rizicima i unutarnje kontrole te, ako je primjenjivo, potrebna odobrenja ili registracije za pouzdano i profesionalno pružanje IKT usluga kojima se podupire ključna ili važna funkcija;

(b)

može li pratiti relevantna tehnološka dostignuća i prepoznati vodeću praksu u području sigurnosti IKT-a te je provesti, ako je to potrebno, kako bi se uspostavio učinkovit i pouzdan okvir za digitalnu operativnu otpornost;

(c)

angažira li ili namjerava angažirati podugovaratelje za pružanje IKT usluga kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi;

(d)

nalazi li se ili obrađuje li ili pohranjuje podatke u trećoj zemlji i, ako je to slučaj, povećava li se tom praksom razina operativnih rizika, reputacijskih rizika ili rizika od utjecaja restriktivnih mjera, među ostalim od embarga i sankcija, koji mogu utjecati na sposobnost treće strane pružatelja IKT usluga da pruža IKT usluge ili financijskog subjekta da primi te IKT usluge;

(e)

pristaje li na ugovorne aranžmane kojima se osigurava da sam financijski subjekt, imenovane treće strane i nadležna tijela mogu učinkovito provoditi revizije treće strane pružatelja IKT usluga, među ostalim na licu mjesta;

(f)

djeluje li na etički i društveno odgovoran način, poštuje li ljudska prava i prava djece, uključujući zabranu dječjeg rada, poštuje li primjenjiva načela zaštite okoliša i osigurava li odgovarajuće radne uvjete.

(a)

revizije ili neovisne procjene koje provodi sam financijski subjekt ili se provode u njegovo ime;

(b)

izvješća o neovisnoj reviziji koja na zahtjev podnosi treća strana pružatelj IKT usluga;

(c)

revizorska izvješća koja izrađuje funkcija unutarnje revizije treće strane pružatelja IKT usluga;

(d)

odgovarajući certifikati trećih strana;

(e)

druge relevantne informacije dostupne financijskom subjektu ili druge informacije koje dostavlja treća strana pružatelj IKT usluga.