(2) A szabályzatban rendelkezni kell arról, hogy a szerződéses megállapodás megkötése előtt kockázatértékelést kell végezni a pénzügyi szervezet szintjén, valamint adott esetben konszolidált és szubkonszolidált szinten.
A kockázatértékelésnek figyelembe kell vennie az (EU) 2022/2554 rendeletben meghatározott valamennyi vonatkozó követelményt és az alkalmazandó ágazati uniós jogszabályokat. Figyelembe kell vennie mindenekelőtt a harmadik fél IKT-szolgáltatók által a kritikus vagy fontos funkciók támogatásához nyújtott IKT-szolgáltatások pénzügyi szervezetre gyakorolt hatását, valamint a harmadik fél IKT-szolgáltatók által kritikus vagy fontos funkciók támogatásához nyújtott, említett IKT-szolgáltatásokból eredő kockázatokat, többek között a következőket:
|
d)
|
reputációs kockázatok;
|
|
e)
|
a bizalmas vagy személyes adatok védelméhez kapcsolódó kockázatok;
|
|
f)
|
az adatok rendelkezésre állásával kapcsolatos kockázatok;
|
|
g)
|
az adatkezelés és az adattárolás helyéhez kapcsolódó kockázatok;
|
|
h)
|
a harmadik fél IKT-szolgáltató helyéből eredő kockázatok;
|
|
i)
|
IKT-koncentrációs kockázatok a szervezet szintjén.
|