Artykuł 4 1

a)

że zewnętrzny dostawca usług ICT jest odpowiedzialny za świadczenie usług przez podwykonawców;

b)

że zewnętrzny dostawca usług ICT jest zobowiązany do monitorowania wszystkich zlecanych podwykonawcom usług ICT wspierających krytyczne lub istotne funkcje lub ich istotne części, w celu zapewnienia, by jego zobowiązania umowne wobec podmiotu finansowego były stale wypełniane;

c)

obowiązki zewnętrznego dostawcy usług ICT w zakresie monitorowania i sprawozdawczości wobec podmiotu finansowego w odniesieniu do podwykonawców świadczących usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części;

d)

że zewnętrzny dostawca usług ICT ma ocenić wszelkie ryzyko związane z lokalizacją obecnych lub potencjalnych podwykonawców świadczących usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części oraz z lokalizacją ich jednostki dominującej, a także z miejscem, z którego świadczona jest dana usługa ICT;

e)

w stosownych przypadkach – miejsce przetwarzania lub przechowywania danych przez podwykonawcę;

f)

że zewnętrzny dostawca usług ICT ma określić w swojej umowie z podwykonawcami obowiązki tych podwykonawców w zakresie monitorowania i sprawozdawczości wobec zewnętrznego dostawcy usług ICT oraz, w stosownych przypadkach, wobec podmiotu finansowego;

g)

że zewnętrzny dostawca usług ICT ma zapewnić ciągłość usług ICT wspierających krytyczne lub istotne funkcje w całym łańcuchu podwykonawców w przypadku niewywiązania się przez podwykonawcę z jego zobowiązań umownych;

h)

że ustalenia umowne między zewnętrznym dostawcą usług ICT a jego podwykonawcami zawierają wymogi dotyczące planów awaryjnych, o których mowa w art. 30 ust. 3 lit. c) rozporządzenia (UE) 2022/2554, oraz określają gwarantowane poziomy usług, które mają zostać osiągnięte przez podwykonawców usług ICT w odniesieniu do tych planów;

i)

że ustalenia umowne między zewnętrznym dostawcą usług ICT a jego podwykonawcami określają standardy bezpieczeństwa ICT i wszelkie dodatkowe wymogi w zakresie bezpieczeństwa, o których mowa w art. 30 ust. 3 lit. c) rozporządzenia (UE) 2022/2554;

j)

że podwykonawca ma przyznać podmiotowi finansowemu oraz odpowiednim właściwym organom i organom ds. restrukturyzacji i uporządkowanej likwidacji takie same prawa dostępu, kontroli i audytu, jak prawa, o których mowa w art. 30 ust. 3 lit. e) rozporządzenia (UE) 2022/2554;

k)

że zewnętrzny dostawca usług ICT ma powiadamiać podmiot finansowy o wszelkich istotnych zmianach w umowach podwykonawstwa;

l)

że podmiot finansowy ma prawo wypowiedzieć umowę z zewnętrznym dostawcą usług ICT, jeżeli spełnione są warunki określone w art. 6 niniejszego rozporządzenia lub warunki określone w art. 28 ust. 7 rozporządzenia (UE) 2022/2554.