Articolul 3 1

(a)

procesele de diligență cu privire la furnizorul terț de servicii TIC asigură faptul că acesta este în măsură să selecteze și să evalueze capacitățile operaționale și financiare ale potențialilor subcontractanți TIC de a furniza servicii TIC care sprijină funcții critice sau importante sau părți semnificative ale acestora, inclusiv prin participarea, atunci când entitatea financiară solicită acest lucru, la testarea rezilienței operaționale digitale, astfel cum se menționează în capitolul IV din Regulamentul (UE) 2022/2554;

(b)

furnizorul terț de servicii TIC este în măsură să identifice toți subcontractanții care furnizează servicii TIC care sprijină funcții critice sau importante sau părți semnificative ale acestora, să notifice și să informeze entitatea financiară cu privire la subcontractanții respectivi și să furnizeze entității financiare toate informațiile care pot fi necesare pentru evaluarea condițiilor prevăzute la prezentul articol;

(c)

furnizorul terț de servicii TIC se asigură că acordurile contractuale cu subcontractanții care furnizează servicii TIC care sprijină funcții critice sau importante sau părți semnificative ale acestora permit entității financiare să își respecte propriile obligații care decurg din Regulamentul (UE) 2022/2554 și din legislația Uniunii și legislația națională aplicabile;

(d)

subcontractantul acordă entității financiare și autorităților competente și autorităților de rezoluție aceleași drepturi contractuale de acces și de inspecție ca cele acordate de furnizorul terț de servicii TIC;

(e)

fără a aduce atingere responsabilității finale a entității financiare de a-și respecta obligațiile juridice și de reglementare, furnizorul terț de servicii TIC are el însuși suficientă capacitate, expertiză și resurse financiare, umane și tehnice adecvate pentru a monitoriza riscurile TIC la nivelul subcontractanților, inclusiv prin aplicarea unor standarde adecvate de securitate a informațiilor și prin faptul de a dispune de o structură organizatorică adecvată, de gestionarea riscurilor și controale interne, precum și de raportarea incidentelor și răspunsul la acestea;

(f)

entitatea financiară dispune de suficiente capacități și expertiză și de resurse financiare, umane și tehnice adecvate pentru a monitoriza riscurile TIC legate de serviciul care sprijină funcții critice sau importante sau părți semnificative ale acestora care a fost subcontractat, inclusiv prin aplicarea unor standarde adecvate de securitate a informațiilor și prin faptul de a dispune de o structură organizatorică adecvată, de gestionarea riscurilor, raportarea incidentelor, de gestionare a continuității activității și de controale interne;

(g)

entitatea financiară a evaluat impactul asupra rezilienței operaționale digitale și a solidității financiare a entității financiare al unei posibile disfuncționalități apărute la nivelul unui subcontractant care furnizează servicii TIC care sprijină funcții critice sau importante sau o parte semnificativă a acestora;

(h)

entitatea financiară a evaluat riscurile asociate cu localizarea potențialilor subcontractanți în ceea ce privește serviciile TIC care sprijină funcții critice sau importante sau o parte semnificativă a acestora furnizate de furnizorul terț de servicii TIC;

(i)

entitatea financiară a evaluat riscurile de concentrare a serviciilor TIC la nivel de entitate în conformitate cu articolul 29 din Regulamentul (UE) 2022/2554;

(j)

entitatea financiară a evaluat dacă există obstacole în calea exercitării drepturilor de audit, de inspecție și de acces de către autoritățile competente, autoritățile de rezoluție sau entitatea financiară, inclusiv de către persoanele desemnate de acestea.