Artikel 3 1

a)

de due diligence-processen voor de derde aanbieder van ICT-diensten borgen dat deze in staat is tot het selecteren en beoordelen van de operationele en financiële mogelijkheden van potentiële ICT-onderaannemers om de ICT-diensten aan te bieden die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, onder meer door, wanneer daartoe door de financiële entiteit verzocht, deel te nemen aan tests op digitale operationele weerbaarheid als bedoeld in hoofdstuk IV van Verordening (EU) 2022/2554;

b)

de derde aanbieder van ICT-diensten is in staat om alle onderaannemers te identificeren die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, om de financiële entiteit van die onderaannemers kennis te geven en haar over hen te informeren, en is in staat de financiële entiteit alle informatie te verstrekken die nodig mocht zijn om de voorwaarden uit hoofde van dit artikel te toetsen;

c)

de derde aanbieder van ICT-diensten zorgt ervoor dat de contractuele regelingen met de ondernemers die ICT-diensten leveren die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunen, de financiële entiteit in staat stellen haar eigen verplichtingen uit hoofde van Verordening (EU) 2022/2554 en toepasselijke Uniewetgeving en nationale wetgeving na te komen;

d)

de onderaannemer verleent de financiële entiteit en bevoegde autoriteiten en afwikkelingsautoriteiten dezelfde contractuele rechten van toegang en inspectie als die welke door de derde aanbieder van ICT-diensten zijn verleend;

e)

onverminderd de eindverantwoordelijkheid van de financiële entiteit om haar verplichtingen uit hoofde van wet- en regelgeving na te komen, beschikt de derde aanbieder van ICT-diensten zelf over voldoende mogelijkheden, deskundigheid en adequate financiële, personele en technische middelen om de ICT-risico’s op het niveau van de onderaannemers te monitoren, onder meer door het toepassen van passende standaarden inzake informatiebeveiliging en door het beschikken over een passende organisatiestructuur, risicomanagement en interne controles, en rapportage van en respons op incidenten;

f)

de financiële entiteit beschikt over voldoende mogelijkheden, deskundigheid en adequate financiële, personele en technische middelen om de ICT-risico’s te monitoren met betrekking tot de uitbestede dienst die kritieke of belangrijke functies, of materiële onderdelen daarvan, ondersteunt, onder meer door het toepassen van passende standaarden inzake informatiebeveiliging en door te beschikken over een passende organisatiestructuur en risicomanagement, incidentrespons, bedrijfscontinuïteit en interne controles;

g)

de financiële entiteit heeft een beoordeling gemaakt van de impact die een mogelijk falen van een onderaannemer die ICT-diensten aanbiedt die kritieke of belangrijke functies, of een materieel onderdeel daarvan, ondersteunen, heeft op de digitale operationele weerbaarheid en financiële robuustheid van de financiële entiteit;

h)

de financiële entiteit heeft de risico’s beoordeeld die aan de locatie van de potentiële onderaannemers verbonden zijn ten aanzien van de door de derde aanbieder van ICT-diensten aangeboden ICT-diensten die kritieke of belangrijke functies, of een materieel onderdeel daarvan, ondersteunen;

i)

de financiële entiteit heeft de ICT-concentratierisico’s op entiteitsniveau beoordeeld overeenkomstig artikel 29 van Verordening (EU) 2022/2554;

j)

de financiële entiteit heeft beoordeeld of er belemmeringen zijn voor het uitoefenen van rechten inzake audit, inspectie en toegang door de bevoegde autoriteiten, afwikkelingsautoriteiten of de financiële entiteit, daaronder begrepen door hen aangestelde personen.