+Artigo 8.o Cláusulas contratuais
---+Artigo 8.o 1
---+Artigo 8.o 2
---+Artigo 8.o 3
---+Artigo 8.o 4

Artigo 8.o Cláusulas contratuais

-

1. Visão geral

,
Artigo 8.o 1

1.   A política deve especificar que o acordo contratual relevante deve ser escrito e incluir todos os elementos referidos no artigo 30.o, n.os 2 e 3, do Regulamento (UE) 2022/2554. A política deve também incluir elementos relativos aos requisitos a que se refere o artigo 1.o, n.o 1, alínea a), do Regulamento (UE) 2022/2554, bem como outra legislação da União e nacional pertinente, consoante o caso.
Artigo 8.o 2

2.   A política deve especificar que os acordos contratuais relevantes devem incluir o direito da entidade financeira de acesso às informações, bem como de realização de inspeções, auditorias e testes às TIC. Para o efeito, a política deve exigir que a entidade financeira utilize os seguintes métodos, sem prejuízo da responsabilidade final da entidade financeira:

a)

A sua própria auditoria interna ou uma auditoria efetuada por um terceiro designado;

b)

Se for caso disso, auditorias conjuntas e testes agrupados às TIC, incluindo testes de penetração baseados em ameaças, organizados em conjunto com outras entidades financeiras adjudicantes ou empresas que utilizam serviços de TIC do mesmo terceiro prestador de serviços de TIC e realizados por essas entidades ou empresas financeiras adjudicantes ou por um terceiro por elas designado;

c)

Certificações de terceiros, se for caso disso;

d)

Sempre que adequado, relatórios de auditoria interna ou de terceiros disponibilizados pelo terceiro prestador de serviços de TIC.
Artigo 8.o 3

3.   A entidade financeira não pode, ao longo do tempo, basear-se exclusivamente nas certificações a que se refere o n.o 2, alínea c), nem nos relatórios de auditoria a que se refere a alínea d) desse número. A política só deve permitir a utilização dos métodos a que se refere o n.o 2, alíneas c) e d), se a entidade financeira:

a)

Estiver satisfeita com o plano de auditoria do terceiro prestador de serviços de TIC no que diz respeito aos acordos contratuais relevantes;

b)

Assegurar que o âmbito das certificações ou dos relatórios de auditoria abrange os sistemas e os controlos fundamentais por si identificados e assegurar o cumprimento dos requisitos regulamentares pertinentes;

c)

Avaliar de forma exaustiva e contínua o conteúdo das certificações ou dos relatórios de auditoria e verificar se os relatórios ou certificações não estão desatualizados;

d)

Assegurar que os principais sistemas e controlos sejam abordados em futuras versões da certificação ou do relatório de auditoria;

e)

Estiver satisfeita com a aptidão da entidade de certificação ou auditoria;

f)

Considerar que as certificações são emitidas e as auditorias são realizadas de acordo com normas profissionais relevantes amplamente reconhecidas e incluem um teste da eficácia operacional dos principais controlos em vigor;

g)

Tiver o direito contratual de solicitar, com uma frequência razoável e legítima do ponto de vista da gestão dos riscos, alterações do âmbito das certificações ou dos relatórios de auditoria a outros sistemas e controlos pertinentes;

h)

Tiver o direito contratual de realizar auditorias individuais e conjuntas, se assim o entender, no que diz respeito aos acordos contratuais e de aplicar esses direitos de acordo com a frequência definida.
Artigo 8.o 4

4.   A política deve assegurar que quaisquer alterações significativas do acordo contratual sejam formalizadas num documento escrito datado e assinado por todas as partes e especificar o processo de renovação dos acordos contratuais.

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas