Artikolu 3 Diliġenza dovuta u valutazzjoni tar-riskju rigward l-użu ta’ sottokuntratturi li jappoġġaw funzjonijiet kritiċi jew importanti

(a)

il-proċessi ta’ diliġenza dovuta fuq il-fornitur terz ta’ servizzi tal-ICT jiżguraw li jkun jista’ jagħżel u jivvaluta l-kapaċitajiet operazzjonali u finanzjarji tas-sottokuntratturi potenzjali tal-ICT li jipprovdu s-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom, inkluż billi jipparteċipa, meta jkun meħtieġ li jagħmel dan mill-entità finanzjarja, fl-ittestjar tar-reżiljenza operazzjonali diġitali kif imsemmi fil-Kapitolu IV tar-Regolament (UE) 2022/2554;

(b)

il-fornitur terz ta’ servizzi tal-ICT ikun jista’ jidentifika s-sottokuntratturi kollha li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom, jinnotifika u jinforma lill-entità finanzjarja ta’ dawk is-sottokuntratturi, u jkun jista’ jipprovdi lill-entità finanzjarja l-informazzjoni kollha li tista’ tkun meħtieġa għall-valutazzjoni tal-kundizzjonijiet skont dan l-Artikolu;

(c)

il-fornitur terz ta’ servizzi tal-ICT jiżgura li l-arranġamenti kuntrattwali mas-sottokuntratturi li jipprovdu servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom, jippermettu lill-entità finanzjarja tikkonforma mal-obbligi tagħha stess li jirriżultaw mir-Regolament (UE) 2022/2554 u mil-leġiżlazzjoni applikabbli tal-Unjoni u nazzjonali;

(d)

is-sottokuntrattur jagħti lill-entità finanzjarja u lill-awtoritajiet kompetenti u ta’ riżoluzzjoni l-istess drittijiet kuntrattwali ta’ aċċess u ta’ spezzjoni bħal dawk mogħtija mill-fornitur terz ta’ servizzi tal-ICT;

(e)

mingħajr preġudizzju għar-responsabbiltà finali tal-entità finanzjarja li tikkonforma mal-obbligi legali u regolatorji tagħha, il-fornitur terz ta’ servizzi tal-ICT innifsu għandu biżżejjed kapaċità, għarfien espert, u riżorsi finanzjarji, umani u tekniċi adegwati biex jimmonitorja r-riskji tal-ICT fil-livell tas-sottokuntratturi, inkluż billi japplika standards xierqa tas-sigurtà tal-informazzjoni u billi jkollu fis-seħħ struttura organizzazzjonali xierqa, ġestjoni tar-riskju u kontrolli interni, u rapportar u risponsi tal-inċidenti;

(f)

l-entità finanzjarja jkollha biżżejjed kapaċitajiet, għarfien espert, u riżorsi finanzjarji, umani u tekniċi adegwati biex timmonitorja r-riskji tal-ICT relatati mas-servizz li jappoġġa funzjonijiet kritiċi jew importanti jew partijiet materjali tagħhom li jkun ġie sottokuntrattat, inkluż billi tapplika standards xierqa tas-sigurtà tal-informazzjoni u billi jkollha fis-seħħ struttura organizzazzjonali xierqa u ġestjoni tar-riskju, rispons għall-inċidenti, ġestjoni tal-kontinwità tal-operat u kontrolli interni;

(g)

l-entità finanzjarja tkun ivvalutat l-impatt fuq ir-reżiljenza operazzjonali diġitali u s-solidità finanzjarja tal-entità finanzjarja ta’ falliment eventwali ta’ sottokuntrattur li jipprovdi servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew parti materjali tagħhom;

(h)

l-entità finanzjarja tkun ivvalutat ir-riskji assoċjati mal-post tas-sottokuntratturi potenzjali fir-rigward tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew parti materjali tagħhom ipprovduti mill-fornitur terz ta’ servizzi tal-ICT;

(i)

l-entità finanzjarja tkun ivvalutat ir-riskji ta’ konċentrazzjoni tal-ICT fil-livell tal-entità f’konformità mal-Artikolu 29 tar-Regolament (UE) 2022/2554;

(j)

l-entità finanzjarja tkun ivvalutat jekk hemmx xi ostakli għall-eżerċizzju tad-drittijiet tal-awditjar, tal-ispezzjoni u tal-aċċess mill-awtoritajiet kompetenti, mill-awtoritajiet ta’ riżoluzzjoni, jew mill-entità finanzjarja, inklużi l-persuni maħtura minnhom.