Artigo 3.o Devida diligência e avaliação do risco no que respeita à utilização de subcontratantes que apoiam funções críticas ou importantes

a)

Os processos de devida diligência do terceiro prestador de serviços de TIC garantem que está em condições de selecionar os potenciais subcontratantes de TIC e de avaliar as respetivas capacidades operacionais e financeiras para prestar os serviços de TIC que apoiam funções críticas ou importantes ou partes significativas das mesmas, nomeadamente participando, quando tal lhe for exigido pela entidade financeira, nos testes de resiliência operacional digital a que se refere o capítulo IV do Regulamento (UE) 2022/2554;

b)

O terceiro prestador de serviços de TIC está em condições de identificar todos os subcontratantes que prestam serviços de TIC que apoiam funções críticas ou importantes ou partes significativas das mesmas, sendo capaz de notificar a entidade financeira e de a informar acerca desses subcontratantes, bem como de lhe fornecer todas as informações eventualmente necessárias para a avaliação das condições ao abrigo do presente artigo;

c)

O terceiro prestador de serviços de TIC assegura que os acordos contratuais celebrados com os subcontratantes que prestam serviços de TIC que apoiam funções críticas ou importantes ou partes significativas das mesmas permitem que a entidade financeira cumpra as suas próprias obrigações decorrentes do Regulamento (UE) 2022/2554 e da legislação nacional e da União aplicável;

d)

O subcontratante concede à entidade financeira, bem como às autoridades competentes e de resolução, direitos contratuais de acesso e inspeção equivalentes aos concedidos pelo terceiro prestador de serviços de TIC;

e)

Sem prejuízo da responsabilidade final da entidade financeira no que respeita ao cumprimento das suas obrigações jurídicas e regulamentares, o terceiro prestador de serviços de TIC dispõe, por si só, de uma capacidade suficiente, de conhecimentos especializados e de recursos financeiros, humanos e técnicos adequados para monitorizar os riscos associados às TIC ao nível dos subcontratantes, nomeadamente aplicando normas adequadas em matéria de segurança da informação e implementando uma estrutura organizativa adequada, a gestão do risco e controlos internos, bem como procedimentos de notificação e resposta a incidentes;

f)

A entidade financeira dispõe de capacidades suficientes, conhecimentos especializados e recursos financeiros, humanos e técnicos adequados para monitorizar os riscos associados às TIC relacionados com o serviço subcontratado que apoia funções críticas ou importantes ou partes significativas das mesmas, nomeadamente aplicando normas adequadas em matéria de segurança da informação e implementando mecanismos adequados em matéria de estrutura organizativa e gestão dos riscos, resposta a incidentes, gestão da continuidade das atividades e controlos internos;

g)

A entidade financeira avaliou o impacto na sua resiliência operacional digital e solidez financeira decorrente de uma eventual falha de um subcontratante que presta serviços de TIC que apoiam funções críticas ou importantes ou uma parte significativa das mesmas;

h)

A entidade financeira avaliou os riscos associados à localização dos potenciais subcontratantes no que se refere aos serviços de TIC que apoiam funções críticas ou importantes ou uma parte significativa das mesmas prestados pelo terceiro prestador de serviços de TIC;

i)

A entidade financeira avaliou o risco de concentração no domínio das TIC a nível da entidade, em conformidade com o artigo 29.o do Regulamento (UE) 2022/2554;

j)

A entidade financeira avaliou se existem obstáculos ao exercício dos direitos de auditoria, inspeção e acesso por parte das autoridades competentes, das autoridades de resolução ou da entidade financeira, o que inclui as pessoas por elas nomeadas.