Contractual Requisites

5.   L-entitajiet finanzjarji għandhom jidentifikaw u jiddokumentaw il-proċessi kollha li jiddependu fuq fornituri terzi ta’ servizzi tal-ICT, u għandhom jidentifikaw l-interkonnessjonijiet ma’ fornituri terzi ta’ servizzi tal-ICT li jipprovdu servizzi li jappoġġjaw funzjonijiet kritiċi jew importanti.

3.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom iżommu u jaġġornaw fil-livell tal-entità, u fil-livelli subkonsolidati u konsolidati, reġistru ta’ informazzjoni fir-rigward tal-arranġamenti kuntrattwali kollha dwar l-użu ta’ servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT.

L-arranġamenti kuntrattwali msemmija fl-ewwel subparagrafu għandhom jiġu ddokumentati b’mod xieraq, filwaqt li ssir distinzjoni bejn dawk li jkopru s-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti u dawk li le.

L-entitajiet finanzjarji għandhom jirrappurtaw mill-inqas darba fis-sena lill-awtoritajiet kompetenti dwar l-għadd ta’ arranġamenti ġodda dwar l-użu tas-servizzi tal-ICT, il-kategoriji tal-fornituri terzi ta’ servizzi tal-ICT, it-tip ta’ arranġamenti kuntrattwali u s-servizzi u l-funzjonijiet tal-ICT li qed jiġu pprovduti.

L-entitajiet finanzjarji għandhom jagħmlu disponibbli għall-awtorità kompetenti, fuq talba tagħha, ir-reġistru sħiħ tal-informazzjoni jew, kif mitlub, taqsimiet speċifikati tiegħu, flimkien ma’ kwalunkwe informazzjoni meqjusa bħala neċessarja biex tkun tista’ ssir is-superviżjoni effettiva tal-entità finanzjarja.

L-entitajiet finanzjarji għandhom jinformaw lill-awtorità kompetenti fil-ħin dwar kwalunkwe arranġament kuntrattwali dwar l-użu ta’ servizzi tal-ICT ippjanat li jappoġġja funzjonijiet kritiċi jew importanti kif ukoll meta funzjoni ssir kritika jew importanti.

6.   Fl-eżerċizzju tad-drittijiet tal-aċċess, tal-ispezzjoni u tal-awditjar fuq il-fornitur terz tas-servizzi tal-ICT, l-entitajiet finanzjarji għandhom, abbażi ta’ approċċ ibbażat fuq ir-riskju, jiddeterminaw minn qabel il-frekwenza tal-awditi u tal-ispezzjonijiet kif ukoll l-oqsma li għandhom jiġu awditjati billi jaderixxu ma’ standards tal-awditjar aċċettati b’mod komuni f’konformità ma’ kwalunkwe struzzjoni superviżorja dwar l-użu u l-inkorporazzjoni ta’ tali standards tal-awditjar.

Fejn l-arranġamenti kuntrattwali konklużi ma’ fornituri terzi ta’ servizzi tal-ICT dwar l-użu ta’ servizzi tal-ICT jinvolvu kumplessità teknika għolja, l-entità finanzjarja għandha tivverifika li l-awdituri, kemm jekk interni kif ukoll jekk esterni, jew diversi awdituri, għandhomx il-ħiliet u l-għarfien xieraq biex iwettqu l-awditi u l-valutazzjonijiet rilevanti.

4.   L-entitajiet finanzjarji għandhom jistabbilixxu, iżommu u jittestjaw perjodikament il-pjanijiet xierqa tal-kontinwità tal-operat tal-ICT, b’mod partikolari fir-rigward ta’ funzjonijiet kritiċi jew importanti esternalizzati jew ikkuntrattati permezz ta’ arranġamenti ma’ fornituri terzi ta’ servizzi tal-ICT.

1.   L-entitajiet finanzjarji għandhom jimmaniġġaw ir-riskju relatat mal-ICT minn partijiet terzi bħala komponent integrali tar-riskju tal-ICT fil-qafas tal-ġestjoni tar-riskju tal-ICT tagħhom kif imsemmi fl-Artikolu 6(1), u f’konformità mal-prinċipji li ġejjin:

4.   Qabel ma jidħlu f’arranġament kuntrattwali dwar l-użu tas-servizzi tal-ICT, l-entitajiet finanzjarji għandhom:

5.   L-entitajiet finanzjarji jistgħu jidħlu biss f’arranġamenti kuntrattwali ma’ fornituri terzi ta’ servizzi tal-ICT li jikkonformaw ma’ standards tas-sigurtà tal-informazzjoni xierqa. Fejn dawk l-arranġamenti kuntrattwali jikkonċernaw funzjonijiet kritiċi jew importanti, l-entitajiet finanzjarji għandhom, qabel ma jikkonkludu l-arranġamenti, iqisu kif xieraq l-użu, mill-fornituri terzi ta’ servizzi tal-ICT, tal-aktar standards għolja u aġġornati ta’ kwalità fis-sigurtà tal-informazzjoni.

8.   Għas-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti, l-entitajiet finanzjarji għandhom jistabbilixxu strateġiji ta’ ħruġ. L-istrateġiji ta’ ħruġ għandhom iqisu r-riskji li jistgħu jfiġġu fil-livell ta’ fornituri terzi ta’ servizzi tal-ICT, b’mod partikolari l-falliment possibbli min-naħa tagħhom, deterjorament tal-kwalità tas-servizzi tal-ICT ipprovduti, kwalunkwe tfixkil fl-operat minħabba forniment mhux xieraq jew li ma sarx ta’ servizzi tal-ICT jew kwalunkwe riskju materjali li jirriżulta b’rabta mal-użu xieraq u kontinwu tas-servizz tal-ICT rispettiv, jew it-terminazzjoni tal-arranġamenti kuntrattwali ma’ fornituri terzi ta’ servizzi tal-ICT fi kwalunkwe waħda miċ-ċirkostanzi elenkati fil-paragrafu 7.

L-entitajiet finanzjarji għandhom jiżguraw li jkunu jistgħu joħorġu mill-arranġamenti kuntrattwali mingħajr:

Il-pjanijiet ta’ ħruġ għandhom ikunu komprensivi, dokumentati u, f’konformità mal-kriterji li jinsabu fl-Artikolu 4(2), għandhom jiġu ttestjati biżżejjed u rieżaminati perjodikament.

L-entitajiet finanzjarji għandhom jidentifikaw soluzzjonijiet alternattivi u jiżviluppaw pjanijiet ta’ tranżizzjoni li jippermettulhom ineħħu l-funzjonijiet u s-servizzi tal-ICT ikkuntrattati u d-data rilevanti mingħand il-fornitur terz ta’ servizzi tal-ICT u li jittrasferuhom b’mod sigur u integrali lil fornituri alternattivi jew jinkorporawhom mill-ġdid internament.

L-entitajiet finanzjarji għandu jkollhom stabbiliti miżuri ta’ kontinġenza xierqa biex iżommu l-kontinwità tal-operat fil-każ li jseħħu ċ-ċirkostanzi msemmija fl-ewwel subparagrafu.

1.   Meta jwettqu l-identifikazzjoni u l-valutazzjoni tar-riskji msemmija fl-Artikolu 28(4), il-punt (c), l-entitajiet finanzjarji għandhom ukoll iqisu jekk il-konklużjoni prevista ta’ arranġament kuntrattwali fir-rigward ta’ servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti twassalx għal xi waħda minn dawn li ġejjin:

L-entitajiet finanzjarji għandhom jiżnu l-benefiċċji u l-kostijiet ta’ soluzzjonijiet alternattivi, bħall-użu ta’ fornituri terzi differenti ta’ servizzi tal-ICT, filwaqt li jqisu jekk is-soluzzjonijiet previsti jaqblux mal-ħtiġijiet u l-objettivi tan-negozju stabbiliti fl-istrateġija ta’ reżiljenza diġitali tagħhom u kif.

2.   Meta l-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti jinkludu l-possibbiltà li fornitur terz ta’ servizzi tal-ICT ikompli jissottokuntratta servizzi tal-ICT li jappoġġjaw funzjoni kritika jew importanti lil fornituri terzi oħra ta’ servizzi tal-ICT, l-entitajiet finanzjarji għandhom jiżnu l-benefiċċji u r-riskji li jistgħu jinħolqu b’rabta ma’ tali sottokuntrattar, b’mod partikolari fil-każ ta’ sottokuntrattur tal-ICT stabbilit f’pajjiż terz.

Fejn l-arranġamenti kuntrattwali jikkonċernaw servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti, l-entitajiet finanzjarji għandhom iqisu kif xieraq id-dispożizzjonijiet fil-liġi dwar l-insolvenza li japplikaw fil-każ tal-falliment ta’ fornitur terz ta’ servizz tal-ICT kif ukoll kwalunkwe limitazzjoni li tista’ tinħoloq fir-rigward tal-irkupru urġenti tad-data tal-entità finanzjarja.

Meta jiġu konklużi arranġamenti kuntrattwali dwar l-użu ta’ servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti ma’ fornitur terz ta’ servizzi tal-ICT stabbilit f’pajjiż terz, l-entitajiet finanzjarji għandhom, apparti l-kunsiderazzjonijiet msemmija fit-tieni subparagrafu, iqisu wkoll il-konformità mar-regoli tal-Unjoni dwar il-protezzjoni tad-data u l-infurzar effettiv tal-liġi f’dak il-pajjiż terz.

Fejn l-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti jipprevedu s-sottokuntrattar, l-entitajiet finanzjarji għandhom jivvalutaw jekk il-ktajjen potenzjalment twal jew kumplessi ta’ sottokuntrattar jistax ikollhom impatt, u kif jistgħu jħallu dan l-impatt, fuq il-kapaċità tagħhom li jimmonitorjaw bis-sħiħ il-funzjonijiet ikkuntrattati u l-kapaċità tal-awtorità kompetenti li twettaq superviżjoni b’mod effettiv fuq l-entità finanzjarja f’dak ir-rigward.