Articolul 2 2

(a)

informații cu privire la acordurile și copiile după documentele contractuale încheiate între:

(b)

informații cu privire la structura organizatorică și de grup a furnizorului terț esențial de servicii TIC, inclusiv informații de identificare a tuturor entităților aparținând aceluiași grup care furnizează în mod direct sau indirect servicii TIC entităților financiare din Uniune;

(c)

informații cu privire la acționarii principali, inclusiv structura și distribuția lor geografică, ai oricărora dintre următoarele:

(d)

informații cu privire la cota de piață a furnizorului terț esențial de servicii TIC, pentru fiecare tip de servicii, pe piețele relevante pe care își desfășoară activitatea;

(e)

informații cu privire la cadrul de guvernanță intern al furnizorului terț esențial de servicii TIC, inclusiv structura cu liniile de responsabilitate în materie de guvernanță și normele în materie de răspundere;

(f)

procesele-verbale ale reuniunilor organului de conducere al furnizorului terț esențial de servicii TIC și ale oricăror alte comitete interne relevante, care se referă în orice fel la activitățile și riscurile legate de serviciile TIC furnizate de terți care sprijină funcțiile entităților financiare din Uniune;

(g)

informații cu privire la securitatea TIC a furnizorului terț esențial de servicii TIC, inclusiv strategiile, obiectivele, politicile, procedurile, protocoalele, procesele, măsurile de control pentru protecția datelor sensibile, controalele accesului, practicile de criptare, planurile de răspuns la incidente relevante și informații cu privire la respectarea tuturor reglementărilor relevante și a standardelor naționale și internaționale, după caz;

(h)

informații cu privire la măsurile tehnice și organizatorice de asigurare a protecției datelor și a confidențialității datelor, inclusiv a datelor cu caracter personal și a celor fără caracter personal, cu privire la măsurile de control puse în aplicare pentru protejarea datelor sensibile, controlul accesului, practicile de criptare și planul de răspuns în caz de încălcare a securității datelor; atunci când, în ceea ce privește prelucrarea datelor cu caracter personal, furnizorul terț de servicii TIC este supus legilor unei țări terțe, inclusiv unor cereri de acces din partea guvernului unei țări terțe, lista țărilor respective și a legilor aplicabile;

(i)

informații cu privire la mecanismele pe care furnizorul terț esențial de servicii TIC le oferă entităților financiare din Uniune pentru portabilitatea datelor, portabilitatea aplicațiilor și interoperabilitate;

(j)

informații cu privire la localizarea centrelor de date și a centrelor de producție TIC utilizate în scopul furnizării de servicii entităților financiare, inclusiv o listă a tuturor sediilor și instalațiilor relevante ale furnizorului terț esențial de servicii TIC, inclusiv a celor din afara Uniunii;

(k)

informații cu privire la furnizarea de servicii de către furnizorul terț esențial de servicii TIC din țări terțe, inclusiv informații privind dispozițiile legale relevante aplicabile datelor cu caracter personal și fără caracter personal prelucrate de furnizorul terț de servicii TIC;

(l)

informații cu privire la măsurile luate pentru a aborda riscurile care decurg din furnizarea de servicii TIC de către furnizorul terț esențial de servicii TIC și subcontractanții acestuia din țări terțe;

(m)

informații cu privire la cadrul de gestionare a riscurilor și la cadrul de gestionare a incidentelor, inclusiv cu privire la politicile, procedurile, instrumentele, mecanismele și cadrul de guvernanță ale furnizorului terț esențial de servicii TIC și ale subcontractanților acestuia, inclusiv lista și descrierea incidentelor majore cu impact direct sau indirect asupra entităților financiare din Uniune, inclusiv detaliile relevante pentru stabilirea importanței incidentului asupra entităților financiare și pentru evaluarea posibilelor impacturi transfrontaliere ale incidentului respectiv;

(n)

informații cu privire la cadrul de gestionare a modificărilor, inclusiv politicile, procedurile și controalele puse în practică de furnizorul terț esențial de servicii TIC și de subcontractanții acestuia;

(o)

informații cu privire la cadrul general de răspuns și de recuperare al furnizorului terț esențial de servicii TIC, inclusiv planurile de continuitate a activității și mecanismele și procedurile aferente, politica privind ciclul de viață al dezvoltării de software, planurile de răspuns și de recuperare și mecanismele și procedurile aferente, politicile și procedurile privind copiile de rezervă;

(p)

informații cu privire la monitorizarea performanței, monitorizarea securității și urmărirea incidentelor, precum și informații cu privire la mecanismele de raportare legate de performanța serviciilor, incidente și respectarea acordurilor privind nivelul serviciilor (SLA) și a obiectivelor privind nivelul serviciilor (SLO) convenite sau a acordurilor similare încheiate între furnizorii terți esențiali de servicii TIC și entitățile financiare din Uniune;

(q)

informații cu privire la cadrul de gestionare a serviciilor TIC furnizate de către terți al furnizorului terț esențial de servicii TIC, inclusiv strategiile, politicile, procedurile, procesele și controalele instituite, inclusiv detalii privind obligația de diligență și evaluarea de către furnizorul terț esențial de servicii TIC a riscurilor legate de subcontractanții săi înainte de momentul încheierii unui acord cu aceștia și pentru a monitoriza relația cu aceștia, incluzând toate riscurile TIC și de contraparte relevante;

(r)

extrase din sistemele de monitorizare și scanare ale furnizorului terț esențial de servicii TIC și ale subcontractanților acestuia, referitoare la monitorizarea rețelei, monitorizarea serverelor, monitorizarea aplicațiilor, monitorizarea securității, scanarea vulnerabilităților, gestionarea jurnalelor, monitorizarea performanței, gestionarea incidentelor și măsurătorile în raport cu obiectivele de fiabilitate, cum ar fi obiectivele privind nivelul serviciilor (SLO), fără a se limita însă doar la acestea;

(s)

extrase din orice sistem sau aplicație de producție, de preproducție și de testare utilizat(ă) de furnizorul terț esențial de servicii TIC și de subcontractanții săi pentru a furniza în mod direct sau indirect servicii entităților financiare din Uniune.

(t)

rapoarte de audit de conformitate și rapoartele de audit disponibile, precum și orice constatări de audit relevante, inclusiv ale auditurilor efectuate de autoritățile naționale din Uniune și din afara Uniunii, în cazul în care acordurile de cooperare cu autoritățile relevante prevăd un astfel de schimb de informații, sau certificări obținute de furnizorul terț esențial de servicii TIC ori de subcontractanții acestuia, inclusiv rapoarte ale auditorilor interni și externi, certificări sau evaluări ale conformității cu standardele specifice sectorului. Acestea includ informații cu privire la orice tip de testare independentă disponibilă a rezilienței sistemelor TIC ale furnizorului terț esențial de servicii TIC, inclusiv orice tip de test de penetrare bazat pe amenințări efectuat de furnizorul terț de servicii TIC;

(u)

informații cu privire la orice evaluări efectuate de furnizorul terț esențial de servicii TIC la cererea acestuia sau în numele acestuia, care evaluează caracterul adecvat și integritatea persoanelor ce dețin poziții-cheie în cadrul furnizorului terț esențial de servicii TIC;

(v)

informații cu privire la orice plan de remediere menit să dea curs recomandărilor în temeiul articolului 3 și informații conexe relevante menite să confirme faptul că măsurile de remediere respective au fost implementate;

(w)

informații cu privire la programele disponibile de formare a angajaților și la programele de sensibilizare în materie de securitate, inclusiv, după caz, informații privind investițiile, resursele și metodele adoptate de furnizorul terț esențial de servicii TIC pentru a-și forma personalul să gestioneze date financiare sensibile și să mențină niveluri ridicate de securitate;

(x)

informații cu privire la activitățile furnizorului terț esențial de servicii TIC și situațiile financiare, inclusiv informații privind bugetul și resursele legate de TIC și de securitate.