Artikel 4 1

a)

dat de derde aanbieder van ICT-diensten verantwoordelijk is voor het leveren van de door de onderaannemers aangeboden diensten;

b)

dat de derde aanbieder van ICT-diensten verplicht is alle uitbestede ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, te monitoren zodat zijn contractuele verplichtingen ten aanzien van de financiële entiteit doorlopend worden vervuld;

c)

de monitoring- en rapportageverplichtingen van de derde aanbieder van ICT-diensten ten aanzien van de financiële entiteit wat betreft onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen;

d)

dat de derde aanbieder van ICT-diensten alle risico’s moet beoordelen die verbonden zijn aan de locatie van de actuele of potentiële onderaannemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, en van hun moederonderneming, en aan de locatie van waaruit de betrokken ICT-diensten worden aangeboden;

e)

de locatie van data die worden verwerkt of opgeslagen door de onderaannemer (in voorkomend geval);

f)

dat de derde aanbieder van ICT-diensten in zijn contract met zijn onderaannemers de monitoring- en rapportageverplichtingen van de onderaannemer moet specificeren ten aanzien van de derde aanbieder van ICT-diensten en, wanneer overeengekomen, ten aanzien van de financiële entiteit;

g)

dat de derde aanbieder van ICT-diensten de continuïteit borgt van de ICT-diensten die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, doorheen de hele keten van onderaannemers wanneer een ICT-onderaannemer zijn contractuele verplichtingen niet nakomt;

h)

dat de contractuele regeling tussen de ICT-diensten en zijn onderaannemers de vereisten bevat wat betreft de bedrijfsnoodplannen als bedoeld in artikel 30, lid 3, punt c), van Verordening (EU) 2022/2554 en de met betrekking tot die plannen door de ICT-onderaannemers te leveren dienstenniveaus;

i)

dat de contractuele regelingen tussen de derde aanbieder van ICT-diensten en zijn onderaannemers de ICT-beveiligingsstandaarden en eventuele aanvullende beveiligingseisen specificeert als bedoeld in artikel 30, lid 3, punt c), van Verordening (EU) 2022/2554;

j)

dat de onderaannemer de financiële entiteit en de betrokken bevoegde autoriteiten en afwikkelingsautoriteiten dezelfde rechten van toegang, inspectie en audit moet verlenen als bedoeld in artikel 30, lid 3, punt e), van Verordening (EU) 2022/2554;

k)

dat de derde aanbieder van ICT-diensten de financiële entiteit in kennis moet stellen van materiële veranderingen in uitbestedingsregelingen;

l)

dat de financiële entiteit het recht heeft het contract met de derde aanbieder van ICT-diensten op te zeggen wanneer de voorwaarden van hetzij artikel 6 van deze verordening, hetzij artikel 28, lid 7, van Verordening (EU) 2022/2554 zijn vervuld.