Artigo 4.o Condições em que se pode proceder à subcontratação de serviços de TIC que apoiam funções críticas ou importantes ou uma parte significativa das mesmas

a)

Que o terceiro prestador de serviços de TIC é responsável pela prestação dos serviços prestados pelos subcontratantes;

b)

Que o terceiro prestador de serviços de TIC é obrigado a monitorizar todos os serviços de TIC subcontratados que apoiam funções críticas ou importantes ou partes significativas das mesmas, a fim de assegurar o cumprimento contínuo das suas obrigações contratuais perante a entidade financeira;

c)

As obrigações de monitorização e de notificação do terceiro prestador de serviços de TIC perante a entidade financeira, no que respeita aos subcontratantes que prestam serviços de TIC que apoiam funções críticas ou importantes ou partes significativas das mesmas;

d)

Que o terceiro prestador de serviços de TIC deve avaliar todos os riscos associados à localização dos subcontratantes atuais ou potenciais que prestam serviços de TIC que apoiam funções críticas ou importantes ou partes significativas das mesmas, bem como da sua empresa-mãe, e ao local a partir do qual é prestado o serviço de TIC em causa;

e)

A localização dos dados tratados ou armazenados pelo subcontratante, se for caso disso;

f)

Que o terceiro prestador de serviços de TIC deve indicar, no contrato que celebra com os seus subcontratantes, as obrigações de monitorização e notificação desses subcontratantes perante o terceiro prestador de serviços de TIC e, se acordado, perante a entidade financeira;

g)

Que, caso um subcontratante de TIC não cumpra as suas obrigações contratuais, cabe ao terceiro prestador de serviços de TIC assegurar a continuidade dos serviços de TIC que apoiam funções críticas ou importantes ao longo da cadeia de subcontratantes;

h)

Que o acordo contratual entre o terceiro prestador de serviços de TIC e os seus subcontratantes contém os requisitos relativos aos planos de contingência operacional a que se refere o artigo 30.o, n.o 3, alínea c), do Regulamento (UE) 2022/2554, e especifica os níveis de serviço a cumprir pelos subcontratantes de TIC no que toca a esses planos;

i)

Que o acordo contratual entre o terceiro prestador de serviços de TIC e os seus subcontratantes especifica as normas de segurança das TIC e quaisquer requisitos de segurança adicionais referidos no artigo 30.o, n.o 3, alínea c), do Regulamento (UE) 2022/2554;

j)

Que o subcontratante deve conceder à entidade financeira, bem como às autoridades competentes e de resolução pertinentes, direitos de acesso, inspeção e auditoria equivalentes aos referidos no artigo 30.o, n.o 3, alínea e), do Regulamento (UE) 2022/2554;

k)

Que o terceiro prestador de serviços de TIC deve notificar à entidade financeira qualquer alteração significativa dos acordos de subcontratação;

l)

Que a entidade financeira tem o direito de rescindir o contrato com o terceiro prestador de serviços de TIC caso se encontrem preenchidas as condições estabelecidas no artigo 6.o do presente regulamento ou no artigo 28.o, n.o 7, do Regulamento (UE) 2022/2554.