Artigo 6.o Devida diligência

a)

Possui a reputação empresarial, competências suficientes, conhecimentos especializados e recursos financeiros, humanos e técnicos adequados, normas de segurança das informações, uma estrutura organizativa, processos de gestão do risco e controlos internos adequados e, se for caso disso, as autorizações ou registos necessários para prestar os serviços de TIC de apoio à função crítica ou importante de forma fiável e profissional;

b)

Tem capacidade para acompanhar a evolução tecnológica pertinente, identificar práticas de liderança em matéria de segurança das TIC e aplicá-las, se for caso disso, para dispor de um quadro de resiliência operacional digital eficaz e sólido;

c)

Recorre ou prevê recorrer a subcontratantes no domínio das TIC para prestar serviços de TIC de apoio a funções críticas ou importantes ou a partes materiais das mesmas;

d)

Está localizado, ou trata ou conserva os dados num país terceiro e, se for esse o caso, se esta prática afeta o nível de riscos operacionais ou de reputação ou o risco de ser afetado por medidas restritivas, incluindo embargos e sanções, que possam prejudicar a capacidade do terceiro prestador de serviços de TIC para prestar serviços de TIC ou a entidade financeira para receber esses serviços de TIC;

e)

Aceita celebrar acordos contratuais que garantam a possibilidade efetiva de a própria entidade financeira, de terceiros designados e de as autoridades competentes realizarem auditorias junto do terceiro prestador de serviços de TIC, incluindo no local;

f)

Age de forma ética e socialmente responsável, respeita os direitos humanos e os direitos da criança, incluindo a proibição do trabalho infantil, respeita os princípios aplicáveis em matéria de proteção do ambiente e garante condições de trabalho adequadas.

a)

Auditorias ou avaliações independentes realizadas pela própria entidade financeira ou em seu nome;

b)

O recurso a relatórios de auditoria independentes elaborados a pedido do terceiro prestador de serviços de TIC;

c)

O recurso a relatórios de auditoria elaborados pela função de auditoria interna do terceiro prestador de serviços de TIC;

d)

A utilização de certificações de terceiros adequadas;

e)

A utilização de outras informações relevantes de que a entidade financeira disponha ou de outras informações fornecidas pelo terceiro prestador de serviços de TIC.