Articolul 6 Diligența necesară

(a)

are o reputație comercială, capacități suficiente, expertiză și resurse financiare, umane și tehnice adecvate, standarde de securitate a informațiilor, o structură organizațională, o gestionare a riscurilor și controale interne adecvate și, după caz, autorizațiile sau înregistrările necesare pentru a furniza servicii TIC care sprijină funcția critică sau importantă într-un mod fiabil și profesionist;

(b)

are capacitatea de a monitoriza evoluțiile tehnologice relevante și de a identifica cele mai bune practici în materie de securitate TIC și de a le pune în aplicare atunci când este cazul pentru a dispune de un cadru eficace și solid de reziliență operațională digitală;

(c)

utilizează sau intenționează să utilizeze subcontractanți TIC pentru a presta servicii TIC care sprijină funcții critice sau importante sau părți semnificative ale acestora;

(d)

este localizat, prelucrează sau stochează datele într-o țară terță și, în caz afirmativ, dacă această practică afectează nivelul riscurilor operaționale sau reputaționale sau riscul de a fi afectat de măsuri restrictive, inclusiv embargouri și sancțiuni, care pot avea impact asupra capacității furnizorului terț de servicii TIC de a furniza serviciile TIC sau a entității financiare de a beneficia de respectivele servicii TIC;

(e)

aprobă acordurile contractuale care asigură faptul că este posibil în mod efectiv să se efectueze audituri la furnizorul terț de servicii TIC, inclusiv la fața locului, de către entitatea financiară însăși, de către părțile terțe desemnate și de către autoritățile competente;

(f)

acționează într-un mod etic și responsabil din punct de vedere social, respectă drepturile omului și drepturile copiilor, inclusiv interdicția privind munca copiilor, respectă principiile aplicabile privind protecția mediului și asigură condiții de muncă adecvate.

(a)

audituri sau evaluări independente efectuate de entitatea financiară sau în numele acesteia;

(b)

utilizarea rapoartelor de audit independente întocmite la cererea furnizorului terț de servicii TIC;

(c)

utilizarea rapoartelor de audit întocmite de funcția de audit intern a furnizorului terț de servicii TIC;

(d)

utilizarea certificărilor adecvate ale terților;

(e)

utilizarea altor informații relevante aflate la dispoziția entității financiare sau a altor informații furnizate de furnizorul terț de servicii TIC.