Artikel 2 2

a)

informatie over de regelingen, en kopieën van contractuele documenten, tussen:

b)

informatie over de organisatie- en groepsstructuur van de kritieke derde aanbieder van ICT-diensten, met vermelding van alle entiteiten die tot dezelfde groep behoren en die direct of indirect ICT-diensten verlenen aan financiële entiteiten in de Unie;

c)

informatie over de belangrijkste aandeelhouders, met inbegrip van hun structuur en geografische distributie, voor alle onderstaande entiteiten:

d)

informatie over het marktaandeel van de kritieke derde aanbieder van ICT-diensten per soort dienst, in de relevante markten waar deze actief is;

e)

informatie over de interne governanceregelingen van de kritieke derde aanbieder van ICT-diensten, met inbegrip van de structuur met regels inzake taakverdeling en verantwoording;

f)

de notulen van vergaderingen van het leidinggevend orgaan en andere interne relevante comités die op enigerlei wijze betrekking hebben op activiteiten en risico’s betreffende ICT-diensten van derden die functies van financiële entiteiten in de Unie ondersteunen;

g)

informatie over de ICT-beveiliging van de kritieke derde aanbieder van ICT-diensten, met inbegrip van relevant(e) strategieën, doelstellingen, beleid, procedures, protocollen, processen, controlemaatregelen om gevoelige gegevens te beschermen, toegangscontroles, versleutelingspraktijken, incidentresponsplannen en, in voorkomend geval, informatie over de naleving van alle relevante voorschriften en nationale en internationale normen;

h)

informatie over technische en organisatorische maatregelen om de bescherming en vertrouwelijkheid van gegevens, met inbegrip van persoonsgegevens en niet-persoonsgebonden gegevens, te waarborgen en over ingevoerde controlemaatregelen om gevoelige gegevens te beschermen, toegangscontroles, versleutelingspraktijken en een responsplan voor datalekken; indien de derde aanbieder van ICT-diensten met betrekking tot de verwerking van persoonsgegevens is onderworpen aan wetten van derde landen, met inbegrip van toegangsverzoeken van overheden van derde landen, een lijst met landen en de toepasselijke wetgeving;

i)

informatie over de mechanismen die de kritieke derde aanbieder van ICT-diensten financiële entiteiten in de Unie aanbiedt voor de overdracht van gegevens en applicaties en interoperabiliteit;

j)

informatie over de locatie van de datacenters en ICT-productiecentra die worden gebruikt om diensten te verlenen aan financiële entiteiten, met inbegrip van een lijst van alle relevante bedrijfsruimten en voorzieningen van de kritieke derde aanbieder van ICT-diensten, ook die buiten de Unie;

k)

informatie over de verlening van diensten door de kritieke derde aanbieder van ICT-diensten vanuit derde landen, met inbegrip van informatie over relevante wettelijke bepalingen inzake persoonsgegevens en niet-persoonsgebonden gegevens die door de aanbieder van ICT-diensten worden verwerkt;

(l)

informatie over de genomen maatregelen om risico’s te adresseren die voortvloeien uit de verlening van ICT-diensten vanuit derde landen door de kritieke derde aanbieder van ICT-diensten en diens subcontractanten;

m)

informatie over het kader voor risicobeheer en het kader voor incidentbeheer, met inbegrip van beleid, procedures, hulpmiddelen, mechanismen en governanceregelingen van de kritieke derde aanbieder van ICT-diensten en van diens subcontractanten, met inbegrip van een lijst en beschrijving van belangrijke incidenten met directe of indirecte gevolgen voor financiële entiteiten in de Unie, inclusief nadere informatie op basis waarvan de significantie van het incident voor financiële entiteiten kan worden bepaald en eventuele grensoverschrijdende gevolgen kunnen worden beoordeeld;

n)

informatie over het kader voor veranderingsbeheer, met inbegrip van beleid, procedures en controles, van de kritieke derde aanbieder van ICT-diensten en diens subcontractanten;

o)

informatie over het algehele respons- en herstelkader van de kritieke derde aanbieder van ICT-diensten, met inbegrip van bedrijfscontinuïteitsplannen en verwante regelingen en procedures, levenscyclusbeleid met betrekking tot softwareontwikkeling, respons- en herstelplannen en verwante regelingen en procedures, en beleid, regelingen en procedures inzake back-ups;

p)

informatie over prestatiebewaking, beveiligingsbewaking en het volgen van incidenten, alsmede informatie over rapportagemechanismen met betrekking tot de prestaties van diensten, incidenten en naleving van overeengekomen dienstenniveauovereenkomsten (SLA’s) en doelstellingen inzake dienstverleningsniveau, of vergelijkbare regelingen tussen kritieke derde aanbieders van ICT-diensten en financiële entiteiten in de Unie;

q)

informatie over het voor ICT-derden opgezette beheerskader van de kritieke derde aanbieder van ICT-diensten, met inbegrip van strategieën, beleid, procedures, processen en controles, inclusief nadere informatie over de vooronderzoeken en risicobeoordelingen die de kritieke derde aanbieder van ICT-diensten ten aanzien van diens subcontractanten uitvoert voordat een overeenkomst met hen wordt aangegaan, teneinde de relatie te bewaken voor alle relevante ICT-risico’s en met de wederpartij samenhangende risico’s;

r)

uittreksels uit de bewakings- en scansystemen van de kritieke derde aanbieder van ICT-diensten en diens subcontractanten, onder meer — maar niet uitsluitend — met betrekking tot netwerk-, server-, applicatie- en beveiligingsbewaking, kwetsbaarheidsscans, beheer van logboeken, prestatiebewaking, incidentbeheer en toetsingen aan betrouwbaarheidsdoelstellingen, zoals doelstellingen inzake dienstverleningsniveau;

s)

uittreksels uit productie-, preproductie- en testsystemen of -applicaties die de kritieke derde aanbieder van ICT-diensten en diens subcontractanten gebruiken om direct of indirect diensten te verlenen aan financiële entiteiten in de Unie;

t)

conformiteits- en beschikbare auditverslagen, evenals relevante auditbevindingen, met inbegrip van audits die zijn uitgevoerd door nationale autoriteiten in de Unie en buiten de Unie, indien samenwerkingsovereenkomsten met de desbetreffende autoriteiten voorzien in een dergelijke informatie-uitwisseling, of certificeringen die zijn verkregen door de kritieke derde aanbieder van ICT-diensten of diens subcontractanten, met inbegrip van verslagen van interne en externe auditoren, certificeringen, of toetsingen op de conformiteit met branchespecifieke normen. Daaronder valt ook informatie over elk type beschikbare onafhankelijke tests van de weerbaarheid van de ICT-systemen van de kritieke derde aanbieder van ICT-diensten, met inbegrip van elk type op bedreigingen gebaseerde penetratietests die de derde aanbieder van ICT-diensten heeft uitgevoerd;

u)

informatie over door de kritieke derde aanbieder van ICT-diensten op diens verzoek of in diens naam verrichte beoordelingen van de geschiktheid en integriteit van personen die sleutelposities binnen de kritieke derde aanbieder van ICT-diensten bekleden;

v)

informatie over correctieplannen naar aanleiding van aanbevelingen uit hoofde van artikel 3 en relevante verwante informatie waaruit blijkt dat corrigerende maatregelen zijn getroffen;

w)

informatie over voor het personeel beschikbare opleidingsprogramma’s en bewustmakingsprogramma’s op het gebied van beveiliging, waaronder, waar relevant, informatie over investeringen, middelen en methoden van de kritieke derde aanbieder van ICT-diensten met betrekking tot de opleiding van diens personeel in de behandeling van gevoelige financiële gegevens en in de wijze waarop de beveiliging op een hoog peil kan worden gehouden;

x)

informatie over de activiteiten van de kritieke derde aanbieder van ICT-diensten en financiële overzichten, met inbegrip van informatie over de begroting en middelen voor ICT en beveiliging.