2. pants Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, iesniedzamās, atklājamās vai paziņojamās informācijas saturs, struktūra un formāts

a)

informācija par līgumiem un kopijas līgumiem starp:

b)

informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, organizatorisko un grupas struktūru, tostarp visu to vienību identifikācija, kuras pieder pie tās pašas grupas un kuras tieši vai netieši sniedz IKT pakalpojumus finanšu vienībām Savienībā;

c)

informācija par lielākajiem akcionāriem, tostarp to struktūra un ģeogrāfiskā izplatība, attiecībā uz jebkuru no turpmāk minētajiem:

d)

informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, tirgus daļu pa pakalpojumu veidiem attiecīgajos tirgos, kuros tā darbojas;

e)

informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, iekšējo pārvaldības kārtību, tostarp struktūra ar pārvaldības atbildības līmeņiem un pārskatatbildības noteikumiem;

f)

kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, vadības struktūras un jebkuru citu attiecīgo iekšējo komiteju sanāksmju protokoli, kas jebkādā veidā attiecas uz darbībām un riskiem, kuri saistīti ar trešo personu sniegtiem IKT pakalpojumiem, kas atbalsta finanšu vienību funkcijas Savienībā;

g)

informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, IKT drošību, tostarp attiecīgās stratēģijas, mērķi, politika, procedūras, protokoli, procesi, kontroles pasākumi sensitīvu datu aizsardzībai, piekļuves kontrole, šifrēšanas prakse, plāni reaģēšanai uz incidentiem, un attiecīgā gadījumā informācija par atbilstību visiem attiecīgajiem noteikumiem un valsts un starptautiskajiem standartiem;

h)

informācija par tehniskiem un organizatoriskiem pasākumiem, ko veic, lai nodrošinātu datu aizsardzību un datu konfidencialitāti, tostarp personas datu un nepersondatu, kontroles pasākumiem, ko īsteno, lai aizsargātu sensitīvus datus, piekļuves kontroli, šifrēšanas praksi, plānu reaģēšanai uz datu aizsardzības pārkāpumiem; ja attiecībā uz personas datu apstrādi uz trešo personu, kas sniedz IKT pakalpojumus, attiecas trešo valstu tiesību akti, tostarp trešo valstu valdības piekļuves pieprasījums, – valstu saraksts un piemērojamie tiesību akti;

i)

informācija par mehānismiem, ko kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, piedāvā Savienības finanšu vienībām attiecībā uz datu pārnesamību, lietojumprogrammu pārnesamību un sadarbspēju;

j)

informāciju par to datu centru un IKT ražošanas centru atrašanās vietu, kurus izmanto, lai sniegtu pakalpojumus finanšu vienībām, tostarp saraksts ar visām attiecīgajām kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, telpām un objektiem, tostarp ārpus Savienības;

k)

informācija par pakalpojumiem, ko sniedz kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus no trešām valstīm, tostarp informācija par attiecīgajām tiesību normām, kas piemērojamas personas datiem un nepersondatiem, kurus apstrādā trešā persona, kas sniedz IKT pakalpojumus;

l)

informācija par pasākumiem, ko veic, lai novērstu riskus, ko rada IKT pakalpojumu sniegšana, ko veic kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, un tās apakšuzņēmēji no trešām valstīm;

m)

informācija par riska pārvaldības sistēmu un incidentu pārvaldības sistēmu, tostarp kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, un tās apakšuzņēmēju politiku, procedūrām, rīkiem, mehānismiem un pārvaldības pasākumiem, tostarp tādu būtisku incidentu saraksts un apraksts, kuriem ir tieša vai netieša ietekme uz finanšu vienībām Savienībā, tostarp attiecīgā informācija, lai noteiktu incidenta nozīmīgumu finanšu vienībām un novērtētu iespējamo pārrobežu ietekmi;

n)

informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, un tās apakšuzņēmēju pārmaiņu pārvaldības sistēmu, tostarp politiku, procedūrām un kontroli;

o)

informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, vispārējo reaģēšanas un seku novēršanas sistēmu, tostarp darbības nepārtrauktības plāni un saistītie pasākumi un procedūras, programmatūras izstrādes dzīves cikla politika, reaģēšanas un seku novēršanas plāni un saistītie pasākumi un procedūras, rezerves kopiju politikas pasākumi un procedūras;

p)

informācija par veiktspējas uzraudzību, drošības uzraudzību un incidentu izsekošanu, kā arī informācija par ziņošanas mehānismiem, kas saistīti ar pakalpojumu veiktspēju, incidentiem un atbilstību saskaņotajām pakalpojumu līmeņa vienošanām un pakalpojumu līmeņa mērķiem vai līdzīgiem pasākumiem starp kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un finanšu vienībām Savienībā;

q)

informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, IKT trešās personas pārvaldības sistēmu, tostarp stratēģijām, politiku, procedūrām, procesiem un kontrolēm, tostarp sīka informācija par pienācīgu pārbaudi un riska novērtējumu, ko kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, veikusi attiecībā uz saviem apakšuzņēmējiem pirms nolīguma noslēgšanas ar tiem, un lai uzraudzītu attiecības, kas aptver visus attiecīgos IKT un darījumu partnera riskus;

r)

izguvumi no kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, un tās apakšuzņēmēju uzraudzības un skenēšanas sistēmām, aptverot, bet ne tikai, tīkla uzraudzību, serveru uzraudzību, lietojumprogrammu uzraudzību, drošības uzraudzību, neaizsargātības skenēšanu, reģistru pārvaldību, veiktspējas uzraudzību, incidentu pārvaldību un mērījumus attiecībā pret uzticamības mērķiem, piemēram, pakalpojumu līmeņa mērķiem;

s)

izguvumi no ražošanas, pirmsražošanas un testēšanas sistēmas vai lietojumprogrammas, ko kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, un tās apakšuzņēmēji izmanto, lai tieši vai netieši sniegtu pakalpojumus finanšu vienībām Savienībā;

t)

atbilstības ziņojumi un pieejamie revīzijas ziņojumi, kā arī visi attiecīgie revīzijas konstatējumi, tostarp revīzijas, ko veikušas valsts iestādes Savienībā un ārpus Savienības, ja sadarbības nolīgumos ar attiecīgajām iestādēm ir paredzēta šāda informācijas apmaiņa, vai sertifikācijas, ko ieguvusi kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, vai tās apakšuzņēmēji, tostarp iekšējo un ārējo revidentu ziņojumi, sertifikācijas vai atbilstības novērtējumi ar nozarei specifiskiem standartiem. Tas ietver informāciju par kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, IKT sistēmu noturības jebkāda veida pieejamu neatkarīgu testēšanu, tostarp jebkāda veida draudu vadītu ielaušanās testēšanu, ko veic trešā persona, kas sniedz IKT pakalpojumus;

u)

informācija par visiem novērtējumiem, ko kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, veikusi vai kas veikti tās uzdevumā, izvērtējot to personu piemērotību un integritāti, kuras ieņem svarīgus amatus kritiski svarīgajā trešajā personā, kas sniedz IKT pakalpojumus;

v)

informācija par visiem sanācijas plāniem, lai izpildītu 3. pantā minētos ieteikumus, un attiecīgā saistītā informācija, kas vajadzīga, lai apstiprinātu tiesiskās aizsardzības līdzekļu īstenošanu;

w)

informācija par pieejamām darbinieku apmācības shēmām un drošības izpratnes programmām, tostarp attiecīgā gadījumā informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, investīcijām, resursiem un metodēm, lai apmācītu savus darbiniekus rīkoties ar sensitīviem finanšu datiem un saglabāt augstu drošības līmeni;

x)

informācija par kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, darbībām un finanšu pārskati, tostarp informācija par budžetu un resursiem, kas saistīti ar IKT un drošību.