2. Het beleid vereist dat een risicobeoordeling wordt uitgevoerd op het niveau van de financiële entiteit en, in voorkomend geval, op geconsolideerd en gesubconsolideerd niveau voordat een contractuele overeenkomst wordt gesloten.
Bij de risicobeoordeling wordt rekening gehouden met alle relevante voorschriften van Verordening (EU) 2022/2554 en de toepasselijke sectorale wetgeving van de Unie. Er wordt met name rekening gehouden met de gevolgen van het verlenen van ICT-diensten ter ondersteuning van kritieke of belangrijke functies door derde aanbieders van ICT-diensten voor de financiële entiteit en alle risico’s die verbonden zijn aan het verlenen van ICT-diensten ter ondersteuning van kritieke of belangrijke functies door derde aanbieders van ICT-diensten, met inbegrip van:
|
(a)
|
operationele risico’s;
|
|
(e)
|
risico’s in verband met de bescherming van vertrouwelijke of persoonsgegevens;
|
|
(f)
|
risico’s in verband met de beschikbaarheid van gegevens;
|
|
(g)
|
risico’s in verband met de plaats waar de gegevens worden verwerkt en opgeslagen;
|
|
(h)
|
risico’s in verband met de locatie van de derde aanbieder van ICT-diensten;
|
|
(i)
|
ICT-concentratierisico op het niveau van de entiteit.
|