Artykuł 6 1

a)

cieszy się odpowiednią reputacją biznesową, posiada wystarczające umiejętności, wiedzę fachową i odpowiednie zasoby finansowe, ludzkie i techniczne, stosuje standardy bezpieczeństwa informacji, ma odpowiednią strukturą organizacyjną, mechanizmy zarządzania ryzykiem i kontroli wewnętrznych oraz, w stosownych przypadkach, posiada zezwolenia lub rejestracje wymagane do świadczenia usług ICT wspierających krytyczne lub istotne funkcje w sposób wiarygodny i profesjonalny;

b)

jest w stanie monitorować istotne zmiany technologiczne i określić wiodące praktyki w zakresie bezpieczeństwa ICT oraz wdrażać je, w stosownych przypadkach, aby dysponować skutecznymi i solidnymi ramami operacyjnej odporności cyfrowej;

c)

korzysta lub zamierza korzystać z podwykonawców usług ICT do świadczenia usług ICT wspierających krytyczne lub istotne funkcje lub ich istotne części;

d)

ma siedzibę lub przetwarza lub przechowuje dane w państwie trzecim, a jeżeli tak, to czy praktyka ta wpływa na poziom ryzyka operacyjnego lub ryzyka utraty reputacji lub na ryzyko objęcia środkami ograniczającymi, w tym embargiem i sankcjami, które mogą mieć wpływ na zdolność zewnętrznego dostawcy usług ICT do świadczenia usług ICT lub podmiotu finansowego do korzystania z tych usług ICT;

e)

wyraża zgodę na ustalenia umowne, które zapewniają realną możliwość przeprowadzania audytów u zewnętrznego dostawcy usług ICT, w tym na miejscu, przez sam podmiot finansowy, wyznaczone osoby trzecie i właściwe organy;

f)

działa w sposób etyczny i społecznie odpowiedzialny, przestrzega praw człowieka i praw dziecka, w tym zakazu pracy dzieci, przestrzega obowiązujących zasad ochrony środowiska oraz zapewnia odpowiednie warunki pracy.