4. cikk A kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatások alvállalkozásba adásának feltételei

a)

a harmadik fél IKT-szolgáltató felelős az alvállalkozók általi szolgáltatásnyújtásért;

b)

a harmadik fél IKT-szolgáltatónak nyomon kell követnie a kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató, az alvállalkozók által nyújtott valamennyi IKT-szolgáltatást annak biztosítása érdekében, hogy a pénzügyi szervezettel szemben fennálló szerződéses kötelezettségei folyamatosan teljesüljenek;

c)

a harmadik fél IKT-szolgáltatónak a pénzügyi szervezettel szembeni nyomonkövetési és jelentéstételi kötelezettségei a kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatásokat nyújtó alvállalkozók tekintetében;

d)

a harmadik fél IKT-szolgáltatónak értékelnie kell minden olyan kockázatot, amely a kritikus vagy fontos funkciókat vagy azok érdemi részeit támogató IKT-szolgáltatást nyújtó aktuális vagy potenciális alvállalkozóknak és azok anyavállalatainak a helyszínével, valamint az érintett IKT-szolgáltatás nyújtásának helyszínével kapcsolatosak;

e)

adott esetben az alvállalkozó által kezelt vagy tárolt adatok helyszíne;

f)

a harmadik fél IKT-szolgáltatónak az alvállalkozóival kötött szerződésében meg kell határoznia azokat a nyomonkövetési és jelentéstételi kötelezettségeket, amelyek az adott alvállalkozót a harmadik fél IKT-szolgáltatóval szemben, illetve – a megállapodás ilyen irányú rendelkezése esetén – a pénzügyi szervezettel szemben terhelik;

g)

a harmadik fél IKT-szolgáltatónak az alvállalkozói lánc egészében biztosítania kell a kritikus vagy fontos funkciókat támogató IKT-szolgáltatások folytonosságát, amennyiben az IKT-alvállalkozó nem teljesíti a szerződéses kötelezettségeit;

h)

a harmadik fél IKT-szolgáltató és az alvállalkozói közötti szerződéses megállapodás tartalmazza az (EU) 2022/2554 rendelet 30. cikke (3) bekezdésének c) pontjában említett vészhelyzeti tervekre vonatkozó követelményeket, és meghatározza az IKT-alvállalkozók által az említett tervekkel kapcsolatban teljesítendő szolgáltatási szinteket;

i)

a harmadik fél IKT-szolgáltató és az alvállalkozói közötti szerződéses megállapodás meghatározza az (EU) 2022/2554 rendelet 30. cikke (3) bekezdésének c) pontjában említett IKT-biztonsági szabványokat és az összes többi biztonsági követelményt;

j)

az alvállalkozó köteles az (EU) 2022/2554 rendelet 30. cikke (3) bekezdésének e) pontjában említettekkel azonos hozzáférési, ellenőrzési és audit jogokat biztosítani a pénzügyi szervezet és a releváns illetékes hatóságok és szanálási hatóságok számára;

k)

a harmadik fél IKT-szolgáltatónak értesítenie kell a pénzügyi szervezetet az alvállalkozói megállapodások minden lényeges módosításáról;

l)

a pénzügyi szervezet jogosult felmondani a harmadik fél IKT-szolgáltatóval kötött szerződést az e rendelet 6. cikkében vagy az (EU) 2022/2554 rendelet 28. cikkének (7) bekezdésében meghatározott feltételek teljesülése esetén.