Artikolu 2 Il-kontenut, l-istruttura u l-format tal-informazzjoni li għandha tiġi ppreżentata, iddivulgata jew irrapportata minn fornituri terzi kritiċi ta’ servizzi tal-ICT

(a)

informazzjoni dwar l-arranġamenti, u kopji tad-dokumenti kuntrattwali, bejn:

(b)

informazzjoni dwar l-istruttura organizzazzjonali u tal-grupp tal-fornitur terz kritiku ta’ servizzi tal-ICT, inkluża l-identifikazzjoni tal-entitajiet kollha li jappartjenu għall-istess grupp li direttament jew indirettament jipprovdu servizzi tal-ICT lil entitajiet finanzjarji fl-Unjoni;

(c)

informazzjoni dwar l-azzjonisti ewlenin, inklużi l-istruttura u l-firxa ġeografika tagħhom, ta’ kwalunkwe waħda minn dawn li ġejjin:

(d)

informazzjoni dwar is-sehem mis-suq tal-fornitur terz kritiku ta’ servizzi tal-ICT, għal kull tip ta’ servizz, fis-swieq rilevanti li fihom jopera;

(e)

informazzjoni dwar l-arranġamenti ta’ governanza interna tal-fornitur terz kritiku ta’ servizzi tal-ICT, inkluża l-istruttura b’linji ta’ responsabbiltà ta’ governanza u regoli dwar l-akkontabilità;

(f)

il-minuti tal-laqgħa tal-korp maniġerjali tal-fornitur terz kritiku ta’ servizzi tal-ICT u kwalunkwe kumitat rilevanti intern ieħor, li b’xi mod huma relatati ma’ attivitajiet u riskji li jikkonċernaw servizzi terzi tal-ICT li jappoġġaw funzjonijiet ta’ entitajiet finanzjarji fl-Unjoni;

(g)

informazzjoni dwar is-sigurtà tal-ICT tal-fornitur terz kritiku ta’ servizzi tal-ICT, inklużi l-istrateġiji, l-objettivi, il-politiki, il-proċeduri, il-protokolli, il-proċessi, il-miżuri ta’ kontroll għall-protezzjoni ta’ data sensittiva, il-kontrolli tal-aċċess, il-prattiki ta’ kriptaġġ, il-pjanijiet ta’ rispons għall-inċidenti rilevanti, u informazzjoni dwar il-konformità mar-regolamenti rilevanti kollha u mal-istandards nazzjonali u internazzjonali, meta applikabbli;

(h)

informazzjoni dwar miżuri tekniċi u organizzattivi biex jiġu żgurati l-protezzjoni tad-data u l-kunfidenzjalità tad-data, inkluża data personali u mhux personali, miżuri ta’ kontroll implimentati għall-protezzjoni ta’ data sensittiva, aċċess, prattiki ta’ kriptaġġ tal-kontrolli, pjan ta’ rispons għall-ksur tad-data; meta fir-rigward tal-proċessar ta’ data personali, il-fornitur terz ta’ servizzi tal-ICT ikun soġġett għal liġijiet minn pajjiżi terzi, inkluż talba għal aċċess minn gvern ta’ pajjiż terz, lista tal-pajjiżi u l-liġijiet applikabbli;

(i)

informazzjoni dwar il-mekkaniżmi li l-fornitur terz kritiku ta’ servizzi tal-ICT joffri lill-entitajiet finanzjarji tal-Unjoni għall-portabbiltà tad-data, il-portabbiltà tal-applikazzjonijiet u l-interoperabbiltà;

(j)

informazzjoni dwar il-post taċ-ċentri tad-data u taċ-ċentri tal-produzzjoni tal-ICT użati għall-finijiet tal-forniment ta’ servizzi lill-entitajiet finanzjarji, inkluża lista tal-bini u l-faċilitajiet rilevanti kollha tal-fornitur terz kritiku ta’ servizzi tal-ICT, inkluż barra mill-Unjoni;

(k)

informazzjoni dwar il-forniment ta’ servizzi mill-fornitur terz kritiku ta’ servizzi tal-ICT minn pajjiżi terzi, inkluża informazzjoni dwar id-dispożizzjonijiet legali rilevanti applikabbli għad-data personali u mhux personali pproċessati mill-fornitur terz ta’ servizzi tal-ICT;

(l)

informazzjoni dwar il-miżuri li ttieħdu biex jiġu indirizzati r-riskji li jirriżultaw mill-forniment ta’ servizzi tal-ICT mill-fornitur terz kritiku ta’ servizzi tal-ICT u s-sottokuntratturi tagħhom minn pajjiżi terzi;

(m)

informazzjoni dwar il-qafas ta’ ġestjoni tar-riskju u l-qafas ta’ ġestjoni tal-inċidenti, inklużi l-politiki, il-proċeduri, l-għodod, il-mekkaniżmi, u l-arranġamenti ta’ governanza tal-fornitur terz kritiku ta’ servizzi tal-ICT u tas-sottokuntratturi tiegħu, inklużi lista u deskrizzjoni ta’ inċidenti kbar b’impatt dirett jew indirett fuq l-entitajiet finanzjarji fl-Unjoni, inklużi d-dettalji rilevanti biex jiġi ddeterminat is-sinifikat tal-inċident fuq l-entitajiet finanzjarji u jiġu vvalutati l-impatti transfruntiera possibbli;

(n)

informazzjoni dwar il-qafas ta’ ġestjoni tat-tibdil, inklużi politiki, proċeduri u kontrolli tal-fornitur terz kritiku ta’ servizzi tal-ICT u s-sottokuntratturi tiegħu;

(o)

informazzjoni dwar il-qafas ġenerali ta’ rispons u ta’ rkupru tal-fornitur terz kritiku ta’ servizzi tal-ICT, inklużi pjanijiet ta’ kontinwità tal-operat u l-arranġamenti u l-proċeduri relatati, il-politika dwar iċ-ċiklu tal-ħajja tal-iżvilupp tas-software, il-pjanijiet ta’ rispons u ta’ rkupru u l-arranġamenti u l-proċeduri relatati, l-arranġamenti u l-proċeduri ta’ politiki ta’ backup;

(p)

informazzjoni dwar il-monitoraġġ tal-prestazzjoni, il-monitoraġġ tas-sigurtà, u t-traċċar tal-inċidenti kif ukoll informazzjoni dwar il-mekkaniżmi ta’ rapportar relatati mal-prestazzjoni tas-servizz, l-inċidenti, u l-konformità ma’ ftehimiet dwar il-livell ta’ servizz (SLAs, service level agreements) maqbula u mal-objettivi fil-livell ta’ servizz (SLOs, service level objectives) jew arranġamenti simili bejn fornituri terzi kritiċi ta’ servizzi tal-ICT u entitajiet finanzjarji fl-Unjoni;

(q)

informazzjoni dwar il-qafas ta’ ġestjoni ta’ riskji informatiċi li ġejjin minn partijiet terzi tal-fornitur terz kritiku ta’ servizzi tal-ICT, inklużi l-istrateġiji, il-politiki, il-proċeduri, il-proċessi, u l-kontrolli inklużi d-dettalji dwar id-diliġenza dovuta u l-valutazzjoni tar-riskju mwettqa mill-fornitur terz kritiku ta’ servizzi tal-ICT fuq is-sottokuntratturi tiegħu qabel ma jidħol fi ftehim magħhom u biex tiġi mmonitorjata r-relazzjoni li tkopri r-riskji rilevanti kollha tal-ICT u tal-kontroparti;

(r)

estrazzjonijiet mis-sistemi ta’ monitoraġġ u ta’ skrutinju tal-fornitur terz kritiku ta’ servizzi tal-ICT u tas-sottokuntratturi tiegħu, li jkopru iżda mhux limitati għall-monitoraġġ tan-network, il-monitoraġġ tas-servers, il-monitoraġġ tal-applikazzjoni, il-monitoraġġ tas-sigurtà, l-iskennjar tal-vulnerabbiltà, il-ġestjoni tal-logs, il-monitoraġġ tal-prestazzjoni, il-ġestjoni tal-inċidenti u l-kejl skont l-għanijiet ta’ affidabbiltà, bħall-SLOs;

(s)

estrazzjonijiet minn kwalunkwe sistema jew applikazzjoni ta’ produzzjoni, preproduzzjoni u ttestjar użata mill-fornitur terz kritiku ta’ servizzi tal-ICT u s-sottokuntratturi tiegħu, biex jipprovdu direttament jew indirettament servizzi lill-entitajiet finanzjarji fl-Unjoni;

(t)

ir-rapporti tal-konformità u tal-awditjar disponibbli kif ukoll kwalunkwe sejba tal-awditjar rilevanti, inkluż l-awditi mwettqa mill-awtoritajiet nazzjonali fl-Unjoni u barra mill-Unjoni fejn il-ftehimiet ta’ kooperazzjoni mal-awtoritajiet rilevanti jipprevedu tali skambju ta’ informazzjoni, jew iċ-ċertifikazzjonijiet miksuba mill-fornitur terz kritiku ta’ servizzi tal-ICT jew mis-sottokuntratturi tiegħu, inklużi r-rapporti minn awdituri interni u esterni, iċ-ċertifikazzjonijiet, jew il-valutazzjonijiet tal-konformità ma’ standards speċifiċi għall-industrija. Dan jinkludi informazzjoni dwar kwalunkwe tip ta’ ttestjar indipendenti disponibbli tar-reżiljenza tas-sistemi tal-ICT tal-fornitur terz kritiku ta’ servizzi tal-ICT, inkluż kwalunkwe tip ta’ ttestjar tal-penetrazzjoni mmexxi mit-theddid imwettaq mill-fornitur terz ta’ servizzi tal-ICT;

(u)

informazzjoni dwar kwalunkwe valutazzjoni mwettqa mill-fornitur terz kritiku ta’ servizzi tal-ICT fuq talba tiegħu jew f’ismu li tevalwa l-adegwatezza u l-integrità tal-individwi li jkollhom pożizzjonijiet ewlenin fi ħdan il-fornitur terz kritiku ta’ servizzi tal-ICT;

(v)

informazzjoni dwar kwalunkwe pjan ta’ rimedju biex jiġu indirizzati r-rakkomandazzjonijiet skont l-Artikolu 3, u l-informazzjoni relatata rilevanti biex jiġu kkonfermati r-rimedji li ġew implimentati;

(w)

informazzjoni dwar l-iskemi disponibbli ta’ taħriġ għall-impjegati u l-programmi ta’ sensibilizzazzjoni dwar is-sigurtà, inkluż, fejn rilevanti, informazzjoni dwar l-investimenti, ir-riżorsi u l-metodi tal-fornitur terz kritiku ta’ servizzi tal-ICT fit-taħriġ tal-persunal tiegħu biex jittratta data finanzjarja sensittiva u jżomm livelli għoljin ta’ sigurtà;

(x)

informazzjoni dwar l-attivitajiet tal-fornitur terz kritiku ta’ servizzi tal-ICT u r-rapporti finanzjarji, inkluża informazzjoni dwar il-baġit u r-riżorsi relatati mal-ICT u mas-sigurtà.