Artigo 2.o Conteúdo, estrutura e formato das informações a apresentar, divulgar ou comunicar por terceiros prestadores de serviços de TIC críticos

a)

Informações sobre os acordos, e cópias dos documentos contratuais, entre:

b)

Informações sobre a estrutura organizativa e do grupo do terceiro prestador de serviços de TIC crítico, incluindo a identificação de todas as entidades pertencentes ao mesmo grupo que prestam direta ou indiretamente serviços de TIC a entidades financeiras na União;

c)

Informações sobre os principais acionistas, incluindo a sua estrutura e distribuição geográfica, de qualquer uma das seguintes entidades:

d)

Informações sobre a quota de mercado do terceiro prestador de serviços de TIC crítico, por tipo de serviços, nos mercados pertinentes em que opera;

e)

Informações sobre os mecanismos de governação interna do terceiro prestador de serviços de TIC crítico, incluindo a cadeia de responsabilidade em matéria de governação e as regras de responsabilização;

f)

as atas das reuniões do órgão de administração do terceiro prestador de serviços de TIC crítico e de quaisquer outros comités internos pertinentes, de algum modo relacionados com as atividades e os riscos ligados aos serviços no domínio das TIC prestados por terceiros que apoiam funções de entidades financeiras na União;

g)

Informações sobre a segurança das TIC do terceiro prestador de serviços de TIC crítico, incluindo estratégias pertinentes, objetivos, políticas, procedimentos, protocolos, processos, medidas de controlo para proteger dados sensíveis, controlos de acesso, práticas de encriptação, planos de resposta a incidentes e informações sobre o cumprimento de todos os regulamentos pertinentes e das normas nacionais e internacionais, se for caso disso;

h)

Informações sobre as medidas técnicas e organizativas para assegurar a proteção e a confidencialidade dos dados, incluindo dados pessoais e não pessoais, as medidas de controlo aplicadas para proteger os dados sensíveis, os controlos de acesso, as práticas de encriptação e o plano de resposta a violações de dados; sempre que, no que diz respeito ao tratamento de dados pessoais, o terceiro prestador de serviços de TIC esteja sujeito à legislação de países terceiros, incluindo a pedidos de acesso de governos de países terceiros, a lista dos países e da legislação aplicável.

i)

Informações sobre os mecanismos que o terceiro prestador de serviços de TIC crítico disponibiliza às entidades financeiras da União para fins de portabilidade dos dados, portabilidade das aplicações e interoperabilidade;

j)

Informações sobre a localização dos centros de dados e dos centros de produção de TIC utilizados para prestar serviços às entidades financeiras, incluindo uma lista de todas as instalações e edifícios pertinentes do terceiro prestador de serviços de TIC crítico, designadamente fora da União;

k)

Informações sobre a prestação de serviços por terceiros prestadores de serviços de TIC críticos de países terceiros, incluindo informações sobre as disposições jurídicas pertinentes aplicáveis aos dados pessoais e não pessoais tratados por tais terceiros prestadores de serviços;

l)

Informações sobre as medidas tomadas para fazer face aos riscos decorrentes da prestação de serviços de TIC pelo terceiro prestador de serviços de TIC crítico e pelos seus subcontratantes de países terceiros;

m)

Informações sobre o quadro de gestão do risco e o quadro de gestão de incidentes, incluindo as políticas, procedimentos, instrumentos, mecanismos e disposições de governação do terceiro prestador de serviços de TIC crítico e dos seus subcontratantes, uma lista e uma descrição dos incidentes graves com impacto direto ou indireto nas entidades financeiras da União e pormenores pertinentes para determinar a importância do incidente para as entidades financeiras e para avaliar os possíveis impactos transfronteiriços;

n)

Informações sobre o quadro de gestão de alterações, incluindo as políticas, procedimentos e controlos do terceiro prestador de serviços de TIC crítico e dos seus subcontratantes;

o)

Informações sobre o quadro global de resposta e recuperação do terceiro prestador de serviços de TIC crítico, incluindo os planos de continuidade das atividades e os mecanismos e procedimentos conexos, a política relativa ao ciclo de vida do desenvolvimento de programas informáticos, os planos de resposta e recuperação e os mecanismos e procedimentos conexos e as políticas, mecanismos e procedimentos de salvaguarda;

p)

Informações sobre a monitorização do desempenho, a monitorização da segurança e o rastreio de incidentes, bem como informações sobre os mecanismos de comunicação relacionados com o desempenho dos serviços, os incidentes e o cumprimento dos acordos de nível de serviço (ANS) e dos objetivos de nível de serviço (ONS) estabelecidos ou de acordos semelhantes entre terceiros prestadores de serviços de TIC críticos e entidades financeiras na União;

q)

Informações sobre o quadro do terceiro prestador de serviços de TIC crítico em matéria de gestão de terceiros no domínio das TIC, incluindo estratégias, políticas, procedimentos, processos e controlos, bem como pormenores sobre o dever de diligência e a avaliação dos riscos que o terceiro prestador de serviços de TIC crítico executa relativamente aos seus subcontratantes antes de celebrar um acordo com os mesmos e para monitorizar a relação, abrangendo todos os riscos pertinentes de contraparte e no domínio das TIC;

r)

Excertos dos sistemas de monitorização e análise do terceiro prestador de serviços de TIC crítico e dos seus subcontratantes, que abranjam, entre outras coisas, a monitorização da rede, a monitorização dos servidores, a monitorização das aplicações, a monitorização da segurança, a análise da vulnerabilidade, a gestão de registos, a monitorização do desempenho, a gestão de incidentes e medições com base em objetivos de fiabilidade, como os ONS;

s)

Excertos de qualquer sistema ou aplicação de produção, pré-produção e testagem utilizado pelo terceiro prestador de serviços de TIC crítico e pelos seus subcontratantes para prestar, direta ou indiretamente, serviços a entidades financeiras na União;

t)

Relatórios de conformidade e relatórios de auditoria disponíveis, bem como quaisquer constatações de auditoria pertinentes, incluindo auditorias realizadas por autoridades nacionais na União e fora dela, sempre que os acordos de cooperação com as autoridades competentes prevejam esse intercâmbio de informações, ou certificações obtidas pelo terceiro prestador de serviços de TIC crítico ou pelos seus subcontratantes, incluindo relatórios de auditores internos e externos, certificações ou avaliações da conformidade que apliquem normas específicas do setor. Tal inclui informações sobre qualquer tipo de testes independentes disponíveis da resiliência dos sistemas de TIC do terceiro prestador de serviços de TIC crítico, incluindo qualquer tipo de testes de penetração baseados em ameaças realizados pelo terceiro prestador de serviços de TIC;

u)

Informações sobre quaisquer avaliações efetuadas pelo prestador de serviços por terceiros prestadores de serviços de TIC críticos de países terceiros a seu pedido ou em seu nome em relação à adequação e integridade dos indivíduos que detêm posições-chave no terceiro prestador de serviços de TIC críticos;

v)

Informações sobre qualquer plano corretivo para dar resposta a recomendações nos termos do artigo 3.o, e informações conexas pertinentes para confirmar a aplicação de medidas corretivas;

w)

informações sobre os regimes de formação dos trabalhadores e os programas de sensibilização para a segurança disponíveis, incluindo, se for caso disso, informações sobre investimentos, recursos e métodos do terceiro prestador de serviços de TIC crítico na formação do seu pessoal para tratar dados financeiros sensíveis e manter elevados níveis de segurança;

x)

Informações sobre as atividades do terceiro prestador de serviços de TIC crítico e demonstrações financeiras, incluindo informações sobre o orçamento e os recursos relacionados com as TIC e a segurança.