Artykuł 9 2

a)

zewnętrzni dostawcy usług ICT przekazywali podmiotowi finansowemu odpowiednie sprawozdania ze swoich działań i usług, w tym sprawozdania okresowe, zgłoszenia incydentów, sprawozdania dotyczące świadczenia usług, sprawozdania dotyczące bezpieczeństwa ICT oraz sprawozdania dotyczące środków na rzecz zapewnienia ciągłości działania i testów ciągłości działania;

b)

ocenę wyników zewnętrznych dostawców usług ICT przeprowadzano za pomocą kluczowych wskaźników efektywności, kluczowych wskaźników kontroli, audytów, samocertyfikacji i niezależnych przeglądów zgodnie z ramami zarządzania ryzykiem związanym z ICT podmiotu finansowego;

c)

podmiot finansowy otrzymywał inne istotne informacje od zewnętrznych dostawców usług ICT;

d)

podmiot finansowy był powiadamiany, w stosownych przypadkach, o incydentach związanych z ICT oraz incydentach operacyjnych lub incydentach w zakresie bezpieczeństwa związanych z płatnościami;

e)

przeprowadzano niezależne przeglądy i audyty sprawdzające zgodność z wymogami i strategiami prawnymi i regulacyjnymi.