Artikel 6 Zorgvuldigheid

(a)

een goede zakelijke reputatie heeft en beschikt over voldoende capaciteiten, deskundigheid en adequate financiële, personele en technische middelen, normen voor informatiebeveiliging, passende organisatiestructuur, risicobeheer en interne controles en, indien van toepassing, over de vereiste vergunningen of registraties om de ICT-diensten ter ondersteuning van de kritieke of belangrijke functie op betrouwbare en professionele wijze te verlenen;

(b)

in staat is relevante technologische ontwikkelingen te monitoren en leidende praktijken op het gebied van ICT-beveiliging in kaart te brengen en in voorkomend geval toe te passen met het oog op een doeltreffend en degelijk kader voor digitale operationele weerbaarheid;

(c)

ICT-subcontractanten gebruikt of voornemens is deze te gebruiken voor de uitvoering van de ICT-diensten die kritieke of belangrijke functies ondersteunen, of materiële onderdelen daarvan;

(d)

zich in een derde land bevindt of daar de gegevens verwerkt of opslaat en, indien dit het geval is, of deze praktijk van invloed is op het niveau van operationele of reputatierisico’s of op het risico te worden getroffen door beperkende maatregelen, met inbegrip van embargo’s en sancties, die van invloed kunnen zijn op het vermogen van de derde aanbieder van ICT-diensten om de ICT-diensten te verlenen of de financiële entiteit om die ICT-diensten te ontvangen;

(e)

instemt met contractuele overeenkomsten die waarborgen dat het daadwerkelijk mogelijk is audits uit te voeren bij de derde aanbieder van ICT-diensten, ook ter plaatse, door de financiële entiteit zelf, aangestelde derde partijen en bevoegde autoriteiten;

(f)

op ethische en maatschappelijk verantwoorde wijze handelt, de mensenrechten en de rechten van het kind, met inbegrip van het verbod op kinderarbeid, eerbiedigt, de toepasselijke beginselen inzake milieubescherming eerbiedigt en voor passende arbeidsomstandigheden zorgt.

(a)

audits of onafhankelijke beoordelingen die door of namens de financiële entiteit worden uitgevoerd;

(b)

het gebruik van onafhankelijke auditverslagen die op verzoek van de derde aanbieder van ICT-diensten worden opgesteld;

(c)

het gebruik van auditverslagen van de interneauditfunctie van de derde aanbieder van ICT-diensten;

(d)

het gebruik van passende certificeringen door derde partijen;

(e)

het gebruik van andere relevante informatie waarover de financiële entiteit beschikt of andere door de derde aanbieder van ICT-diensten verstrekte informatie.