2. cikk A kritikus harmadik fél IKT-szolgáltató által benyújtandó, közzéteendő vagy jelentendő információk tartalma, struktúrája és formátuma

a)

az alábbi felek között létrejött megállapodásokra vonatkozó információk, valamint a szerződéses dokumentumok másolatai:

b)

a kritikus harmadik fél IKT-szolgáltató szervezeti és csoportfelépítésére vonatkozó információk, beleértve az azonos vállalatcsoporthoz tartozó valamennyi olyan jogalany azonosítását, amelyek közvetlenül vagy közvetve IKT-szolgáltatásokat nyújtanak pénzügyi szervezeteknek az Unióban;

c)

a következők bármelyikének főrészvényeseire vonatkozó információk, beleértve a részvényesi szerkezetet és a földrajzi kiterjedésüket:

d)

a kritikus harmadik fél IKT-szolgáltató piaci részesedésére vonatkozó információk szolgáltatástípus szerinti bontásban azokon a releváns piacokon, ahol működik;

e)

a kritikus harmadik fél IKT-szolgáltató belső vállalatirányítási rendszerére vonatkozó információk, beleértve annak felépítését, ismertetve az irányítással kapcsolatos felelősségi köröket és elszámoltathatósági szabályokat;

f)

a kritikus harmadik fél IKT-szolgáltató vezető testülete és bármely más érintett belső bizottság üléséről készült jegyzőkönyv, amely bármilyen módon kapcsolódik az Unión belüli pénzügyi szervezetek funkcióit támogató, harmadik fél által nyújtott IKT-szolgáltatásokat érintő tevékenységekhez és kockázatokhoz;

g)

a kritikus harmadik fél IKT-szolgáltató IKT-biztonságára vonatkozó információk, beleértve a vonatkozó stratégiákat, célkitűzéseket, szabályzatokat, eljárásokat, protokollokat, folyamatokat, az érzékeny adatok védelmét szolgáló ellenőrzési intézkedéseket, a hozzáférés ellenőrzését, a titkosítási gyakorlatokat, az eseményekre/incidensekre adandó válaszlépéseket ismertető terveket, valamint adott esetben az összes vonatkozó előírásnak, nemzeti és nemzetközi szabványnak való megfelelésre vonatkozó információk;

h)

az adatvédelmet és az adatok – ideértve a személyes és nem személyes adatokat is – bizalmas kezelését biztosító technikai és szervezési intézkedésekre, az érzékeny adatok védelme érdekében végrehajtott ellenőrzési intézkedésekre, a hozzáférési jogosultságok ellenőrzésére, a titkosítási gyakorlatokra és az adatvédelmi incidensekre adandó válaszlépéseket ismertető tervre vonatkozó információk; amikor a személyes adatok kezelése tekintetében a harmadik fél IKT-szolgáltatóra harmadik országok jogszabályai vonatkoznak, amely magában foglalja harmadik országok kormányának az adatokhoz való hozzáférés iránti kérelmét, az országok listája és az alkalmazandó jogszabályok;

i)

azokra a mechanizmusokra vonatkozó információk, amelyeket a kritikus harmadik fél IKT-szolgáltató az uniós pénzügyi szervezeteknek kínál az adathordozhatóság, az alkalmazások hordozhatósága és az interoperabilitás érdekében;

j)

a pénzügyi szervezetek számára történő szolgáltatásnyújtás céljára igénybe vett adatközpontok és IKT-központok elhelyezkedésére vonatkozó információk, beleértve a kritikus harmadik fél IKT-szolgáltató összes releváns telephelyének és létesítményének listáját is – az Unión kívülieket is;

k)

a harmadik országokból származó kritikus harmadik fél IKT-szolgáltatók által nyújtott szolgáltatásokra vonatkozó információk, beleértve a harmadik fél IKT-szolgáltató által kezelt személyes és nem személyes adatokra alkalmazandó jogi rendelkezésekre vonatkozó információkat is;

l)

azokra az intézkedésekre vonatkozó információk, amelyeket a harmadik országokból származó kritikus harmadik fél IKT-szolgáltató és alvállalkozói az IKT-szolgáltatások nyújtásából eredő kockázatok kezelésére hoztak;

m)

a kockázatkezelési keretre és az incidenskezelési keretre vonatkozó információk, ideértve a kritikus harmadik fél IKT-szolgáltató és alvállalkozói szabályzatait, eljárásait, eszközeit, mechanizmusait és irányítási megállapodásait, többek között az Unión belüli pénzügyi szervezetekre közvetlen vagy közvetett hatást gyakorló jelentős események listáját és ismertetését, beleértve az esemény pénzügyi szervezetekre gyakorolt jelentőségének meghatározásához és a lehetséges határokon átnyúló hatások felméréséhez szükséges, releváns adatokat;

n)

a változáskezelési keretre vonatkozó információk, beleértve a kritikus harmadik fél IKT-szolgáltató és alvállalkozói szabályzatait, eljárásait és kontrolljait;

o)

a kritikus harmadik fél IKT-szolgáltató átfogó reagálási és helyreállítási keretére vonatkozó információk, ideértve az üzletmenet-folytonossági terveket és a kapcsolódó intézkedéseket és eljárásokat, a szoftverfejlesztési életciklusra vonatkozó irányelveket, a reagálási és helyreállítási terveket és a kapcsolódó intézkedéseket és eljárásokat, valamint a biztonsági mentésre vonatkozó intézkedéseket és eljárásokat;

p)

a teljesítmény és a biztonsági figyelemmel kísérésére és az események nyomon követésére vonatkozó információk, valamint a szolgáltatások teljesítésére, az eseményekre, továbbá a szolgáltatási szintre vonatkozó megállapodásoknak (SLA-k) és szolgáltatási szintre vonatkozó céloknak (SLO-k) vagy a kritikus harmadik fél IKT-szolgáltatók és az uniós pénzügyi szervezetek között létrejött hasonló megállapodásoknak való megfelelésre irányuló jelentési mechanizmusokra vonatkozó információk;

q)

a kritikus harmadik fél IKT-szolgáltató más IKT-vel foglalkozó harmadik felek kezelésére szolgáló keretrendszerével kapcsolatos információk, beleértve a stratégiákat, szabályzatokat, eljárásokat, folyamatokat és kontrollokat, többek között a kritikus harmadik fél IKT-szolgáltató által az alvállalkozói körében azelőtt végzett átvilágításra és kockázatértékelésre vonatkozó részletes adatokat, hogy megállapodást kötne velük, és figyelemmel kísérje a kapcsolatot az összes releváns IKT- és partnerkockázatra kiterjedően;

r)

a kritikus harmadik fél IKT-szolgáltató és alvállalkozói felügyeleti és átvizsgálási rendszereiből származó kivonatok, beleértve, de nem kizárólagosan a hálózatfelügyeletet, a szerverfelügyeletet, az alkalmazásfelügyeletet, a biztonsági felügyeletet, a sebezhetőségi vizsgálatokat, a naplókezelést, a teljesítményfelügyeletet, az incidenskezelést és a megbízhatósági célokkal, például SLO-kkal kapcsolatos méréseket;

s)

bármely olyan éles üzemben lévő, éles üzemet megelőző szakaszban lévő és tesztelésre szolgáló rendszerből vagy alkalmazásból származó kivonatok, amelyet a kritikus harmadik fél IKT-szolgáltató és annak alvállalkozói arra használnak, hogy közvetlenül vagy közvetve szolgáltatást nyújtsanak az Unióban működő pénzügyi szervezeteknek;

t)

megfelelőségi és rendelkezésre álló ellenőrzési jelentések, valamint minden releváns ellenőrzés megállapításai, beleértve az Unión belüli és az Unión kívüli nemzeti hatóságok által végzett ellenőrzéseket, amennyiben az érintett hatóságokkal kötött együttműködési megállapodások rendelkeznek ilyen információcseréről, illetve a kritikus harmadik fél IKT-szolgáltató vagy alvállalkozói által megszerzett tanúsítványok, beleértve a belső és külső ellenőrök jelentéseit, tanúsítványait, vagy az iparág-specifikus szabványoknak való megfelelőségi értékelések. Ez magában foglalja a kritikus harmadik fél IKT-szolgáltató IKT-rendszerei rezilienciájának bármely típusú elérhető független tesztelésére – beleértve a harmadik fél IKT-szolgáltató által valamely fenyegetés kapcsán végzett penetrációs (behatolási) tesztelést is – vonatkozó információkat;

u)

a kritikus harmadik fél IKT-szolgáltató kérésére vagy nevében a kritikus harmadik fél IKT-szolgáltatónál kulcsfontosságú pozíciót betöltő személyek alkalmasságát és feddhetetlenségét vizsgáló értékelésekre vonatkozó információk;

v)

a 3. cikk szerinti ajánlások teljesítését célzó bármely helyreállítási tervvel kapcsolatos információk, valamint a korrekciók végrehajtásának megerősítésére vonatkozó lényeges információk;

w)

a rendelkezésre álló munkavállalói képzési rendszerekre és a biztonsággal kapcsolatos tudatosságot növelő programokra vonatkozó információk, beleértve adott esetben a kritikus harmadik fél IKT-szolgáltató azon beruházásaira, erőforrásaira és módszereire vonatkozó információkat, amelyek célja személyzetének az érzékeny pénzügyi adatok kezelésével és a magas szintű biztonság fenntartásával kapcsolatos képzése;

x)

a kritikus harmadik fél IKT-szolgáltató tevékenységeire és a pénzügyi kimutatásaira vonatkozó információk, ideértve az IKT-val és a biztonsággal kapcsolatos költségvetésre és forrásokra vonatkozó információkat.