+Third-Party Contract Requirements
---+Contract Flow-Down Requirements
---+Provider Contingency Plan

Third-Party Contract Requirements

Description

Mechanisms exist to require contractual requirements for applicable security, compliance and resilience requirements with third-parties, reflecting the organization's needs to protect its Technology Assets, Applications, Services and/or Data (TAASD).

Possible Solutions & Considerations

Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls
∙ Non-Disclosure Agreements (NDAs)

Small Business (10-49 staff) / BLS Firm Size Classes 3-4

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls
∙ Non-Disclosure Agreements (NDAs)

Medium Business (50-249 staff) / BLS Firm Size Classes 5-6

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls
∙ Non-Disclosure Agreements (NDAs)

Large Business (250-999 staff) / BLS Firm Size Classes 7-8

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls
∙ Non-Disclosure Agreements (NDAs)

Enterprise (> 1,000 staff) / BLS Firm Size Class 9

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls
∙ Non-Disclosure Agreements (NDAs)

SCR-CMM

Level 0 Not Performed

Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.

Level 1 Performed Informally

SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.

Level 2 Planned Tracked

Third-Party Management (TPM) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with TPM domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with TPM domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with TPM domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Third-party management-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Asset management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ Procurement practices contractually require ESP to follow secure engineering practices as part of a broader Cybersecurity Supply Chain Risk Management (C-SCRM) initiative.
▪ A formal agreement exists between the organization and applicable third-parties that includes a Non-Disclosure Agreement (NDA) addressing shared sensitive data.

Level 3 Well Defined

Third-Party Management (TPM) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with TPM domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with TPM domain capabilities are well-documented and kept current by process owners.
▪ A procurement team, or similar function, is appropriately staffed and supported to implement and maintain TPM domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of third-party management operations (e.g., TPRM risk management solution and vendor management solution).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with TPM domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to require contractual requirements for applicable security, compliance and resilience requirements with third-parties, reflecting the organization's needs to protect its TAASD.

Level 4 Quantitatively Controlled

Third-Party Management (TPM) capabilities, in addition to being standardized across the entity and centrally managed to ensure consistency across Technology Assets, Applications, Services and/or Data (TAASD), efforts are metrics driven to provide sufficient insight for decision makers to predict optimal performance, ensure continued operations and/or identify areas for improvement. Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Applicable SCR-CMM Level 3 (Well Defined) capabilities are implemented and operational.
▪ Metrics reporting includes quantitative analysis of Key Performance Indicators (KPIs).
▪ Metrics reporting includes quantitative analysis of Key Risk Indicators (KRIs).
▪ Scope of metrics, KPIs and KRIs covers organization-wide cybersecurity and data protection controls, including functions performed by third-parties.
▪ Organizational leadership maintains a formal process to objectively review and respond to metrics, KPIs and KRIs (e.g., monthly or quarterly review).
▪ Based on metrics analysis, process improvement recommendations are submitted for review and are handled in accordance with change control processes.
▪ Business and technical stakeholders are involved in reviewing and approving proposed changes to evolve capabilities.

Level 5 Continuously Improving

Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.

1. Áttekintés

Contract Flow-Down Requirements

Description

Mechanisms exist to ensure applicable security, compliance and resilience requirements are included in contracts that flow-down to applicable subcontractors and suppliers.

Possible Solutions & Considerations

Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls

Small Business (10-49 staff) / BLS Firm Size Classes 3-4

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls

Medium Business (50-249 staff) / BLS Firm Size Classes 5-6

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls

Large Business (250-999 staff) / BLS Firm Size Classes 7-8

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls

Enterprise (> 1,000 staff) / BLS Firm Size Class 9

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program
∙ Data Protection Impact Assessment (DPIA)
∙ Third-party contract requirements for cybersecurity controls

SCR-CMM

Level 0 Not Performed

Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.

Level 1 Performed Informally

SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.

Level 2 Planned Tracked

Third-Party Management (TPM) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with TPM domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with TPM domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with TPM domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Third-party management-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Asset management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ Procurement practices contractually require ESP to follow secure engineering practices as part of a broader Cybersecurity Supply Chain Risk Management (C-SCRM) initiative.
▪ A formal agreement exists between the organization and applicable third-parties that includes a Non-Disclosure Agreement (NDA) addressing shared sensitive data.

Level 3 Well Defined

Third-Party Management (TPM) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with TPM domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with TPM domain capabilities are well-documented and kept current by process owners.
▪ A procurement team, or similar function, is appropriately staffed and supported to implement and maintain TPM domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of third-party management operations (e.g., TPRM risk management solution and vendor management solution).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with TPM domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to ensure applicable security, compliance and resilience requirements are included in contracts that flow-down to applicable sub-contractors and suppliers.

Level 4 Quantitatively Controlled

Utilize SCR-CMM Level 3 criteria definitions:
▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control.
▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.

Level 5 Continuously Improving

Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
Provider Contingency Plan

Description

Mechanisms exist to contractually-require external service providers to have contingency plans that meet organizational contingency requirements.

Possible Solutions & Considerations

Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program

Small Business (10-49 staff) / BLS Firm Size Classes 3-4

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program

Medium Business (50-249 staff) / BLS Firm Size Classes 5-6

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program

Large Business (250-999 staff) / BLS Firm Size Classes 7-8

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program

Enterprise (> 1,000 staff) / BLS Firm Size Class 9

∙ Cybersecurity Supply Chain Risk Management (C-SCRM) program

SCR-CMM

Level 0 Not Performed

Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.

Level 1 Performed Informally

SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.

Level 2 Planned Tracked

Business Continuity & Disaster Recovery (BCD) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with BCD domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with BCD domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with BCD domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Business Continuity / Disaster Recovery (BC/DR)-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ BC/DR may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.

Level 3 Well Defined

Third-Party Management (TPM) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with TPM domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with TPM domain capabilities are well-documented and kept current by process owners.
▪ A procurement team, or similar function, is appropriately staffed and supported to implement and maintain TPM domain capabilities.
▪ Technology is leveraged to enhance the efficiency and accuracy of third-party management operations (e.g., TPRM risk management solution and vendor management solution).
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, works with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with TPM domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ An implemented and operational capability exists to contractually-require external service providers to have contingency plans that meet organizational contingency requirements.

Level 4 Quantitatively Controlled

Utilize SCR-CMM Level 3 criteria definitions:
▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control.
▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.

Level 5 Continuously Improving

Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabályozások

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabályozások

Szabályozások
EULAW 11. cikk Adat- és rendszerbiztonság
EULAW 13. cikk A hálózatbiztonság kezelése

13. cikk

A hálózatbiztonság kezelése

A pénzügyi szervezetek a hálózatok biztonságát a behatolásokkal és az adatokkal való visszaéléssel szemben garantáló biztosítékok részeként kidolgozzák, dokumentálják és végrehajtják a hálózatbiztonság kezelésére vonatkozó szabályzatokat, eljárásokat, protokollokat és eszközöket, beleértve a következők mindegyikét:

a) 

az IKT-rendszerek és -hálózatok elkülönítése és szegmentálása, figyelembe véve a következőket:

i. 

ezen IKT-rendszerek és -hálózatok által támogatott funkció kritikussága vagy fontossága;

ii. 

az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozás;

iii. 

az említett IKT-rendszereket és -hálózatokat használó IKT-eszközök általános kockázati profilja;

b) 

a pénzügyi szervezet valamennyi hálózati kapcsolatának és adatáramlásának dokumentálása;

c) 

külön, erre kijelölt hálózat használata az IKT-eszközök kezelésére;

d) 

hálózati hozzáférés-ellenőrzések azonosítása és végrehajtása a pénzügyi szervezet hálózatához való, jogosulatlan eszköz vagy rendszer, vagy a pénzügyi szervezet biztonsági követelményeinek nem megfelelő végpont általi kapcsolat megelőzése és észlelése érdekében;

e) 

a vállalati hálózatokon, nyilvános hálózatokon, belföldi hálózatokon, harmadik felek hálózatain és vezeték nélküli hálózatokon áthaladó hálózati kapcsolatok titkosítása az alkalmazott kommunikációs protokollok esetében, figyelembe véve a jóváhagyott adatminősítés eredményeit, az IKT-kockázatértékelés eredményeit és a hálózati kapcsolatok 6. cikk (2) bekezdésében említett titkosítását;

f) 

a hálózatoknak a pénzügyi szervezet által meghatározott IKT-biztonsági követelményekkel összhangban történő kialakítása, figyelembe véve a hálózat bizalmas jellegének, integritásának és rendelkezésre állásának biztosítására irányuló vezető gyakorlatokat;

g) 

a belső hálózatok és az internet és más külső kapcsolatok közötti hálózati forgalom biztosítása;

h) 

a tűzfalszabályok és kapcsolatszűrők meghatározásával, végrehajtásával, jóváhagyásával, módosításával és felülvizsgálatával kapcsolatos szerep- és felelősségi körök, illetve lépések azonosítása;

i) 

a hálózati architektúra és a hálózatbiztonság kialakítása felülvizsgálatának elvégzése évente egyszer, illetve mikrovállalkozások esetén rendszeres időközönként, a potenciális sérülékenységek azonosítása érdekében;

j) 

szükség esetén az alhálózatok, valamint a hálózati összetevők és eszközök ideiglenes elszigetelésére irányuló intézkedések;

k) 

valamennyi hálózati összetevő biztonságos konfigurációs alapértékeinek végrehajtása, valamint a hálózat és a hálózati eszközök megerősítése a beszállítói utasításokkal, adott esetben az 1025/2012/EU rendelet 2. cikkének 1. pontjában foglalt meghatározás szerinti szabványokkal és a vezető gyakorlatokkal összhangban;

l) 

a rendszer és a távoli munkamenetek meghatározott inaktivitási időszakot követő korlátozására, lezárására és megszakítására szolgáló eljárások;

m) 

a hálózati szolgáltatásokról szóló megállapodások esetében:

i. 

az IKT- és információbiztonsági intézkedések, a szolgáltatási szintek és az irányítási követelmények azonosítása és részletes meghatározása minden hálózati szolgáltatás tekintetében;

ii. 

annak feltüntetése, hogy a szolgáltatásokat csoporton belüli IKT-szolgáltató vagy harmadik fél IKT-szolgáltatók nyújtják-e.

A h) pont alkalmazásában a pénzügyi szervezetek az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozásnak és az érintett IKT-rendszerek általános kockázati profiljának megfelelően rendszeresen elvégzik a tűzfalszabályok és a kapcsolatszűrők felülvizsgálatát. A kritikus vagy fontos funkciókat támogató IKT-rendszerek esetében a pénzügyi szervezetek legalább hathavonta ellenőrzik a meglévő tűzfalszabályok és kapcsolatszűrők megfelelőségét.
EULAW 28. cikk Általános elvek
EULAW 29. cikk Az IKT-koncentrációs kockázat szervezetszintű előzetes értékelése
EULAW 30. cikk Főbb szerződéses rendelkezések
EULAW 21. cikk A kiberbiztonsági kockázatkezelési intézkedések
EULAW 28. cikk Általános elvek
EULAW 29. cikk Az IKT-koncentrációs kockázat szervezetszintű előzetes értékelése
EULAW 30. cikk Főbb szerződéses rendelkezések
EULAW 21. cikk A kiberbiztonsági kockázatkezelési intézkedések
EULAW 28. cikk Általános elvek
EULAW 29. cikk Az IKT-koncentrációs kockázat szervezetszintű előzetes értékelése
EULAW 30. cikk Főbb szerződéses rendelkezések
EULAW 21. cikk A kiberbiztonsági kockázatkezelési intézkedések
EULAW 28. cikk (1)

A pénzügyi szervezeteknek a harmadik féltől eredő IKT-kockázatot az IKT-kockázat integráns összetevőjeként kell kezelniük a 6. cikk (1) bekezdésében említett IKT-kockázatkezelési keretrendszerükön belül és a következő elvekkel összhangban:

a) 

azon pénzügyi szervezeteknek, amelyek üzleti tevékenységük folytatásához IKT-szolgáltatások igénybevételéről szóló szerződéses megállapodást kötöttek, mindenkor teljes felelősséggel kell tartozniuk az e rendeletben és az alkalmazandó, pénzügyi szolgáltatásokra vonatkozó jogszabályokban előírt kötelezettségeknek való megfelelésért;

b) 

a pénzügyi szervezeteknek a harmadik féltől eredő IKT-kockázat kezelését az arányosság elvének megfelelően, a következők figyelembevételével kell megvalósítaniuk:

i. 

az IKT-vonatkozású függőségek jellege, nagyságrendje, összetettsége és fontossága;

ii. 

a harmadik fél IKT-szolgáltatókkal kötött, IKT-szolgáltatások igénybevételéről szóló szerződéses megállapodásokból eredő kockázatok, figyelembe véve a vonatkozó szolgáltatás, folyamat vagy funkció kritikusságát vagy fontosságát, valamint a pénzügyi szolgáltatások és tevékenységek folytonosságára és rendelkezésre állására egyedi és csoportszinten gyakorolt potenciális hatást.
EULAW 29. cikk (2)
Amennyiben a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételéről szóló szerződéses megállapodásokban szerepel az a lehetőség, hogy egy harmadik fél IKT-szolgáltató egy kritikus vagy fontos funkciót támogató IKT-szolgáltatást más harmadik fél IKT-szolgáltatóknak ad alvállalkozásba, a pénzügyi szervezeteknek mérlegelniük kell az alvállalkozó ezen igénybevételéből esetlegesen származó előnyöket és kockázatokat, különösen egy harmadik országban letelepedett IKT-alvállalkozó esetén.

Amennyiben a szerződéses megállapodások kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételére vonatkoznak, a pénzügyi szervezeteknek kellő figyelmet kell fordítaniuk a harmadik fél IKT-szolgáltató csődje esetén alkalmazandó fizetésképtelenségi jogi rendelkezésekre, valamint a pénzügyi szervezet adatainak haladéktalan visszaszerzése kapcsán esetlegesen felmerülő akadályokra.

Amennyiben egy harmadik országban letelepedett, harmadik fél IKT-szolgáltatóval jön létre kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételéről szóló szerződéses megállapodás, a pénzügyi szervezeteknek – a második albekezdésben említett megfontolásokon túlmenően – figyelembe kell venniük az uniós adatvédelmi szabályoknak való megfelelést és a jog hatékony érvényesítését az említett harmadik országban.

Amennyiben a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételéről szóló szerződéses megállapodások alvállalkozó igénybevételéről rendelkeznek, a pénzügyi szervezeteknek értékelniük kell, hogy a potenciálisan hosszú vagy összetett alvállalkozói láncok érinthetik-e – és ha igen, hogyan – a szervezet képességét a szerződéses megbízásba adott funkciók teljeskörű nyomon követésére, valamint az illetékes hatóság képességét arra, hogy e tekintetben eredményesen ellássa a pénzügyi szervezet felügyeletét.
EULAW 30. cikk (1)
A pénzügyi szervezet és a harmadik fél IKT-szolgáltató jogait és kötelezettségeit egyértelműen meg kell határozni, és írásban kell rögzíteni. A teljes szerződésnek magában kell foglalnia a szolgáltatási szintekre vonatkozó megállapodást is, és azt egyetlen, írásba foglalt dokumentumban kell rögzíteni, amelynek nyomtatott vagy egyéb, letölthető, tartós és hozzáférhető formátumú dokumentumban kell a felek rendelkezésére állnia.
EULAW 30. cikk (2)

Az IKT-szolgáltatások igénybevételéről szóló szerződéses megállapodásoknak legalább a következő elemeket kell magukban foglalniuk:

a) 

a harmadik fél IKT-szolgáltató által biztosítandó funkciók és IKT-szolgáltatások egyértelmű és teljeskörű leírása annak feltüntetésével, hogy valamely kritikus vagy fontos funkciót támogató IKT-szolgáltatásnak vagy annak érdemi részeinek alvállalkozásba adása megengedett-e, és ha igen, milyen feltételek alkalmazandók az ilyen alvállalkozásba adásra;

b) 

azon helyszínek – nevezetesen azon régiók és országok –, ahol a szerződéses megbízásba vagy alvállalkozásba adott funkciók vagy IKT-szolgáltatások nyújtása és az adatkezelés történik, ideértve a tárolás helyét is, továbbá annak előírása, hogy a harmadik fél IKT-szolgáltatónak előzetesen értesítenie kell a pénzügyi szervezetet, ha tervezi az ilyen helyszínek megváltoztatását;

c) 

az adatok – köztük a személyes adatok – védelmével kapcsolatban a rendelkezésre állásra, hitelességre, integritásra és bizalmas jellegre vonatkozó rendelkezések;

d) 

az olyan személyes és nem személyes adatok – könnyen hozzáférhető formátumban történő – hozzáférésének, helyreállításának és visszaszolgáltatásának biztosítására vonatkozó rendelkezések, amelyeket a pénzügyi szervezet a harmadik fél IKT-szolgáltató fizetésképtelensége, szanálása vagy üzleti tevékenységének megszüntetése, vagy a szerződéses megállapodások megszűnése esetén kezel;

e) 

a szolgáltatási szintek leírása, ideértve annak frissítéseit és módosításait is;

f) 

a harmadik fél IKT-szolgáltató azon kötelezettsége, hogy valamely, a pénzügyi szervezetnek nyújtott IKT-szolgáltatással kapcsolatos, IKT-incidens bekövetkezésekor többletköltség nélkül vagy előzetesen megállapított költség mellett támogatást nyújtson a pénzügyi szervezetnek;

g) 

a harmadik fél IKT-szolgáltató azon kötelezettsége, hogy teljes mértékben együttműködjön az illetékes hatóságokkal és a pénzügyi szervezet szanálási hatóságaival, beleértve az általuk kinevezett személyeket is;

h) 

a szerződéses megállapodások megszüntetésére vonatkozó felmondási jogok és az azokhoz kapcsolódó minimális felmondási idő az illetékes hatóságok és a szanálási hatóságok elvárásainak megfelelően;

i) 

a harmadik fél IKT-szolgáltatóknak a pénzügyi szervezetek 13. cikk (6) bekezdése szerinti IKT-biztonsági tudatosságot elősegítő programjain és a digitális működési rezilienciával kapcsolatos képzésein való részvételére vonatkozó feltételek.
EULAW 30. cikk (3)

A kritikus vagy fontos funkciókat támogató IKT-szolgáltatások igénybevételéről szóló szerződéses megállapodásoknak a (2) bekezdésben említett elemeken felül tartalmazniuk kell legalább a következőket:

a) 

a szolgáltatási szintek teljeskörű leírása, beleértve annak frissítéseit és felülvizsgálatait is, a megállapodás szerinti szolgáltatási szinteken belüli pontos mennyiségi és minőségi teljesítménycélokkal együtt, hogy lehetővé váljon az IKT- szolgáltatásoknak a pénzügyi szervezet általi eredményes nyomon követése, és lehetővé váljon megfelelő korrekciós intézkedések indokolatlan késedelem nélküli meghozatala, amikor a megállapodás szerinti szolgáltatási szintek nem teljesülnek;

b) 

a harmadik fél IKT-szolgáltatóra vonatkozó felmondási idők és a pénzügyi szervezettel szembeni bejelentési kötelezettségei, ideértve bármely olyan fejlemény bejelentését, amely lényeges hatást gyakorolhat a harmadik fél IKT- szolgáltató azon képességére, hogy a megállapodás szerinti szolgáltatási szinteknek megfelelően eredményesen biztosítsa a kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokat;

c) 

arra vonatkozó követelmények, hogy a harmadik fél IKT-szolgáltató vezessen be és teszteljen vészhelyzeti terveket, továbbá rendelkezzen olyan IKT-biztonsági intézkedésekkel, eszközökkel és szabályzatokkal, amelyek biztosítják a megfelelő biztonsági szintet ahhoz, hogy a pénzügyi szervezet a szabályozási keretével összhangban nyújtson szolgáltatásokat;

d) 

a harmadik fél IKT-szolgáltató azon kötelezettsége, hogy – a 26. és a 27. cikkben említettek szerint – részt vegyen és teljes mértékben együttműködjön a pénzügyi szervezet által végzett TLPT-ben;

e) 

a pénzügyi szervezet azon joga, hogy folyamatosan monitorozza a harmadik fél IKT-szolgáltató teljesítményét, ami a következőkkel jár:

i. 

a pénzügyi szervezet vagy egy kinevezett harmadik fél, valamint az illetékes hatóság korlátlan hozzáférési, ellenőrzési és audit joga és a releváns dokumentumokról a helyszínen való másolatkészítés joga – amennyiben azok kritikusak a harmadik fél IKT-szolgáltató műveletei szempontjából –, amelynek tényleges gyakorlását nem akadályozza vagy korlátozza más szerződéses megállapodás vagy végrehajtási szabályzat;

ii. 

az alternatív bizonyossági szintekről való megállapodás joga, ha más ügyfelek jogai érintettek;

iii. 

a harmadik fél IKT-szolgáltató azon kötelezettsége, hogy maradéktalanul együttműködjön az illetékes hatóságok, a vezető felvigyázó, a pénzügyi szervezet vagy egy kinevezett harmadik fél által végzett helyszíni ellenőrzések és auditok során; és

iv. 

az ilyen ellenőrzések és auditok terjedelmével, követendő eljárásaival és gyakoriságával kapcsolatos részletek megadásának kötelezettsége;

f) 

kilépési stratégiák, különösen egy kötelező megfelelő átmeneti időszak meghatározása:

i. 

amelynek során a harmadik fél IKT-szolgáltató folytatja a vonatkozó funkciók és IKT-szolgáltatások nyújtását annak érdekében, hogy csökkentse a pénzügyi szervezetnél keletkező zavar kockázatát, vagy biztosítsa annak eredményes szanálását és szerkezetátalakítását;

ii. 

amely lehetővé teszi a pénzügyi szervezet számára, hogy valamely egyéb harmadik fél IKT-szolgáltatóhoz migráljon, vagy házon belüli megoldásokra állhasson át a nyújtott szolgáltatás összetettségének megfelelően.

Az e) ponttól eltérve, a harmadik fél IKT-szolgáltató és a mikrovállalkozásként működő pénzügyi szervezet megállapodhat arról, hogy a pénzügyi szervezet hozzáférési, ellenőrzési és audit jogai átruházhatók a harmadik fél IKT-szolgáltató által kinevezett független harmadik félre, valamint hogy a pénzügyi szervezet bármikor tájékoztatást és biztosítékot kérhet a független harmadik féltől a harmadik fél IKT-szolgáltató teljesítése tekintetében.
EULAW 30. cikk (4)
A szerződéses megállapodásokat előkészítő tárgyalások során a pénzügyi szervezeteknek és a harmadik fél IKT- szolgáltatóknak mérlegelniük kell az egyes szolgáltatásokra a hatóságok által kidolgozott általános szerződéses rendelkezések alkalmazását.

Kapcsolt feladatok

Kapcsolatok
is related to Annual
is related to relative Control Weighting = 10
is related to Process
is related to Identify
is related to SCRM Focus Tier 1 STRATEGIC
is related to SCRM Focus Tier 2 OPERATIONAL
is related to SCRM Focus Tier 3 TACTICAL
blocks Unauthorized Retention / Inability to Dispose of Data
blocks Business / Service Interruption
blocks Contractual Default / Termination
blocks Regulatory / Legal / Contractual Financial Liability
blocks Loss of Authorization / Certification / License
blocks Failure to Support Business / Mission Objectives
blocks Unaddressed Security / Compliance Exposure
blocks Unperformed / Unowned Control Responsibilities
blocks Uncontrolled Third-Party Security / Privacy Exposure
blocks Lack of oversight of third-party controls
blocks Inability to Demonstrate Due Diligence / Due Care
blocks Unreliable Assurance / Decision Information
blocks Recovery Failure / Unacceptable Recovery Delay
blocks Third-Party Cybersecurity Compromise / Exposure
blocks Third-Party Physical Security Disruption / Exposure
blocks Sub-Tier / Fourth-Party Supply Chain Exposure
blocks Third-Party Legal / Compliance Exposure
blocks Harm from Unauthorized / Unintended Product or Service Use
blocks Third-Party Dependency Failure
blocks Counterfeit / Non-Conforming Component Impact
blocks Loss of Confidentiality
blocks Privacy Harm / Unauthorized Processing
blocks Drought & Water Shortage
blocks Earthquakes
blocks Fire & Wildfires
blocks Floods
blocks Hurricanes & Tropical Storms
blocks Landslides & Debris Flow
blocks Pandemic (Disease) Outbreaks
blocks Severe Weather
blocks Space Weather
blocks Thunderstorms & Lightning
blocks Tornadoes
blocks Tsunamis
blocks Volcanoes
blocks Winter Storms & Extreme Cold
blocks Dysfunctional Management Practices
blocks Human Error
blocks Statutory / Regulatory / Contractual Change
blocks Fraud, Corruption and/or Intentional Criminal Conduct
blocks Conflict of Interest (COI) / Undue Influence / Insider Misconduct
blocks Economic Shock / Market Disruption
blocks Foreign Ownership, Control, or Influence (FOCI)
blocks Sanctions / Trade Restriction Disruption
blocks Supplier Financial Distress / Insolvency
blocks Workforce Shortage / Loss of Critical Skills / Labor Disruption
blocks HR-06.02B
blocks PS-01.05B
blocks PS-06.04AC
blocks OPS-11.02B
blocks IAM-07.06B
blocks IAM-07.06AS
blocks IAM-07.01AC
blocks PI-02.01B
blocks PI-02.01AC
blocks PI-02.02AC
blocks DEV-02.01B
blocks SSO-01.01B
blocks SSO-01.02AC
blocks SSO-03.02B
blocks SIM-04.02AC
blocks COM-02.01AC
blocks PSS-12.03B
blocks Unauthorized Retention / Inability to Dispose of Data
blocks Business / Service Interruption
blocks Contractual Default / Termination
blocks Regulatory / Legal / Contractual Financial Liability
blocks Loss of Authorization / Certification / License
blocks Failure to Support Business / Mission Objectives
blocks Unaddressed Security / Compliance Exposure
blocks Unperformed / Unowned Control Responsibilities
blocks Uncontrolled Third-Party Security / Privacy Exposure
blocks Lack of oversight of third-party controls
blocks Inability to Demonstrate Due Diligence / Due Care
blocks Unreliable Assurance / Decision Information
blocks Recovery Failure / Unacceptable Recovery Delay
blocks Third-Party Cybersecurity Compromise / Exposure
blocks Third-Party Physical Security Disruption / Exposure
blocks Sub-Tier / Fourth-Party Supply Chain Exposure
blocks Third-Party Legal / Compliance Exposure
blocks Harm from Unauthorized / Unintended Product or Service Use
blocks Third-Party Dependency Failure
blocks Counterfeit / Non-Conforming Component Impact
blocks Loss of Confidentiality
blocks Privacy Harm / Unauthorized Processing
blocks Drought & Water Shortage
blocks Earthquakes
blocks Fire & Wildfires
blocks Floods
blocks Hurricanes & Tropical Storms
blocks Landslides & Debris Flow
blocks Pandemic (Disease) Outbreaks
blocks Severe Weather
blocks Space Weather
blocks Thunderstorms & Lightning
blocks Tornadoes
blocks Tsunamis
blocks Volcanoes
blocks Winter Storms & Extreme Cold
blocks Dysfunctional Management Practices
blocks Human Error
blocks Statutory / Regulatory / Contractual Change
blocks Fraud, Corruption and/or Intentional Criminal Conduct
blocks Conflict of Interest (COI) / Undue Influence / Insider Misconduct
blocks Economic Shock / Market Disruption
blocks Foreign Ownership, Control, or Influence (FOCI)
blocks Sanctions / Trade Restriction Disruption
blocks Supplier Financial Distress / Insolvency
blocks Workforce Shortage / Loss of Critical Skills / Labor Disruption
blocks HR-06.02B
blocks PS-01.05B
blocks PS-06.04AC
blocks OPS-11.02B
blocks IAM-07.06B
blocks IAM-07.06AS
blocks IAM-07.01AC
blocks PI-02.01B
blocks PI-02.01AC
blocks PI-02.02AC
blocks DEV-02.01B
blocks SSO-01.01B
blocks SSO-01.02AC
blocks SSO-03.02B
blocks SIM-04.02AC
blocks COM-02.01AC
blocks PSS-12.03B
blocks Unauthorized Retention / Inability to Dispose of Data
blocks Business / Service Interruption
blocks Contractual Default / Termination
blocks Regulatory / Legal / Contractual Financial Liability
blocks Loss of Authorization / Certification / License
blocks Failure to Support Business / Mission Objectives
blocks Unaddressed Security / Compliance Exposure
blocks Unperformed / Unowned Control Responsibilities
blocks Uncontrolled Third-Party Security / Privacy Exposure
blocks Lack of oversight of third-party controls
blocks Inability to Demonstrate Due Diligence / Due Care
blocks Unreliable Assurance / Decision Information
blocks Recovery Failure / Unacceptable Recovery Delay
blocks Third-Party Cybersecurity Compromise / Exposure
blocks Third-Party Physical Security Disruption / Exposure
blocks Sub-Tier / Fourth-Party Supply Chain Exposure
blocks Third-Party Legal / Compliance Exposure
blocks Harm from Unauthorized / Unintended Product or Service Use
blocks Third-Party Dependency Failure
blocks Counterfeit / Non-Conforming Component Impact
blocks Loss of Confidentiality
blocks Privacy Harm / Unauthorized Processing
blocks Drought & Water Shortage
blocks Earthquakes
blocks Fire & Wildfires
blocks Floods
blocks Hurricanes & Tropical Storms
blocks Landslides & Debris Flow
blocks Pandemic (Disease) Outbreaks
blocks Severe Weather
blocks Space Weather
blocks Thunderstorms & Lightning
blocks Tornadoes
blocks Tsunamis
blocks Volcanoes
blocks Winter Storms & Extreme Cold
blocks Dysfunctional Management Practices
blocks Human Error
blocks Statutory / Regulatory / Contractual Change
blocks Fraud, Corruption and/or Intentional Criminal Conduct
blocks Conflict of Interest (COI) / Undue Influence / Insider Misconduct
blocks Economic Shock / Market Disruption
blocks Foreign Ownership, Control, or Influence (FOCI)
blocks Sanctions / Trade Restriction Disruption
blocks Supplier Financial Distress / Insolvency
blocks Workforce Shortage / Loss of Critical Skills / Labor Disruption
blocks HR-06.02B
blocks PS-01.05B
blocks PS-06.04AC
blocks OPS-11.02B
blocks IAM-07.06B
blocks IAM-07.06AS
blocks IAM-07.01AC
blocks PI-02.01B
blocks PI-02.01AC
blocks PI-02.02AC
blocks DEV-02.01B
blocks SSO-01.01B
blocks SSO-01.02AC
blocks SSO-03.02B
blocks SIM-04.02AC
blocks COM-02.01AC
blocks PSS-12.03B
is blocked by TPM-14 Third-Party Contract Requirements – Assessment Procedure
blocks SR-03(03) Sub-tier Flow Down
blocks 03.01.20 Use of External Systems
blocks 03.07.06 Maintenance Personnel
blocks 03.16.03 External System Services
blocks 03.17.02 Acquisition Strategies, Tools, and Methods
blocks 03.17.03 Supply Chain Requirements and Processes
blocks GV.OC-02 Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and …
blocks GV.OC-03 Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and …
blocks GV.SC-02 Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and …
blocks GV.SC-05 Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of …
blocks GV.SC-06 Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships
blocks PO.1 Define Security Requirements for Software Development