Članak 3. 1

(a)

postupci dubinske analize treće strane pružatelja IKT usluga jamče da je ona sposobna odabrati i procijeniti operativne i financijske sposobnosti potencijalnih podugovaratelja koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi, među ostalim na temelju sudjelovanja u testiranju digitalne operativne otpornosti iz poglavlja IV. Uredbe (EU) 2022/2554 kad financijski subjekt to zatraži;

(b)

treća strana pružatelj IKT usluga sposobna je identificirati sve podugovaratelje koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi, obavijestiti financijski subjekt o tim podugovarateljima i pružiti mu sve informacije koje bi mogle biti potrebne za procjenu uvjeta iz ovog članka;

(c)

treća strana pružatelj IKT usluga jamči da ugovorni aranžmani sklopljeni s podugovarateljima koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi omogućuju financijskom subjektu da ispuni svoje obveze koje proizlaze iz Uredbe (EU) 2022/2554 i primjenjivih propisa Unije i nacionalnog zakonodavstva;

(d)

podugovaratelj financijskom subjektu te nadležnim i sanacijskim tijelima dodjeljuje ista ugovorna prava na pristup i inspekcijski nadzor koja dodjeljuje treća strana pružatelj IKT usluga;

(e)

ne dovodeći u pitanje krajnju odgovornost koju financijski subjekt ima za ispunjavanje svojih pravnih i regulatornih obveza, treća strana pružatelj IKT usluga mora imati dostatnu sposobnost i stručno znanje te odgovarajuće financijske, ljudske i tehničke resurse za praćenje IKT rizika na razini podugovaratelja, što među ostalim podrazumijeva primjenu odgovarajućih standarda informacijske sigurnosti i uspostavu odgovarajućeg organizacijskog ustrojstva, postupaka za upravljanje rizicima i unutarnjih kontrola te postupaka za izvješćivanje o incidentima i odgovore na njih;

(f)

financijski subjekt ima dostatne sposobnosti i stručno znanje te odgovarajuće financijske, ljudske i tehničke resurse za praćenje IKT rizika povezanih s podugovorenom uslugom kojom se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi, što među ostalim podrazumijeva primjenu odgovarajućih standarda informacijske sigurnosti i uspostavu odgovarajućeg organizacijskog ustrojstva i postupaka za upravljanje rizicima, odgovor na incidente i upravljanje kontinuitetom poslovanja te unutarnjih kontrola;

(g)

financijski subjekt procijenio je učinak mogućeg prekida pružanja usluga podugovaratelja koji pruža IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi na digitalnu operativnu otpornost i financijsku stabilnost financijskog subjekta;

(h)

financijski subjekt procijenio je rizike povezane s lokacijom potencijalnih podugovaratelja treće strane pružatelja IKT usluga koji pružaju IKT usluge kojima se podupiru ključne ili važne funkcije ili njihovi bitni dijelovi;

(i)

financijski subjekt procijenio je koncentracijske IKT rizike na razini subjekta u skladu s člankom 29. Uredbe (EU) 2022/2554;

(j)

financijski subjekt procijenio je postoje li prepreke ostvarivanju prava nadležnih tijela, sanacijskih tijela ili financijskog subjekta, kao i osoba koje su oni imenovali, na reviziju, inspekcijski nadzor i pristup.