Článok 4 Podmienky, za ktorých môžu byť IKT služby, ktoré podporujú kritické alebo dôležité funkcie alebo ich závažnú časť, zabezpečované s využitím subdodávateľov

a)

že externý poskytovateľ IKT služieb je zodpovedný za poskytovanie služieb poskytovaných subdodávateľmi;

b)

že externý poskytovateľ IKT služieb je povinný monitorovať všetky IKT služby, ktoré podporujú kritické alebo dôležité funkcie alebo ich závažné časti, zabezpečované s využitím subdodávateľov, aby sa zabezpečilo nepretržité plnenie jeho zmluvných záväzkov s finančným subjektom;

c)

že externý poskytovateľ IKT služieb má povinnosti v oblasti monitorovania a nahlasovania voči finančnému subjektu, pokiaľ ide o subdodávateľov, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti;

d)

že externý poskytovateľ IKT služieb má posúdiť všetky riziká spojené s miestom poskytovania služby zo strany súčasných alebo potenciálnych subdodávateľov, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti, a ich materskej spoločnosti, ako aj s miestom, odkiaľ sa dotknutá IKT služba poskytuje;

e)

miesto, kde subdodávateľ spracúva alebo uchováva údaje, ak je to relevantné;

f)

že externý poskytovateľ IKT služieb má v zmluvnom dojednaní so svojimi subdodávateľmi stanoviť povinnosti daného subdodávateľa týkajúce sa monitorovania a nahlasovania správ voči externému poskytovateľovi IKT služieb, a ak je to dohodnuté, voči finančnému subjektu;

g)

že externý poskytovateľ IKT služieb má zabezpečiť kontinuitu IKT služieb, ktoré podporujú kritické alebo dôležité funkcie v celom reťazci subdodávateľov, ak subdodávateľ IKT nesplní svoje zmluvné povinnosti;

h)

že zmluvné dojednanie medzi externým poskytovateľom IKT služieb a jeho subdodávateľmi obsahuje požiadavky na obchodné krízové plány uvedené v článku 30 ods. 3 písm. c) nariadenia (EÚ) 2022/2554 a špecifikuje úrovne služieb, ktoré majú subdodávatelia IKT v súvislosti s týmito plánmi spĺňať;

i)

že v zmluvnom dojednaní medzi externým poskytovateľom IKT služieb a jeho subdodávateľmi sa špecifikujú normy v oblasti bezpečnosti IKT a akékoľvek dodatočné bezpečnostné požiadavky uvedené v článku 30 ods. 3 písm. c) nariadenia (EÚ) 2022/2554;

j)

že subdodávateľ má udeliť finančnému subjektu a relevantným príslušným orgánom a orgánom pre riešenie krízových situácií rovnaké práva na prístup, inšpekciu a audit, ako sú práva uvedené v článku 30 ods. 3 písm. e) nariadenia (EÚ) 2022/2554;

k)

že externý poskytovateľ IKT služieb má finančnému subjektu oznámiť každú závažnú zmenu subdodávateľských dojednaní;

l)

že finančný subjekt má právo ukončiť zmluvné dojednanie s externým poskytovateľom IKT služieb, ak boli splnené podmienky stanovené buď v článku 6 tohto nariadenia alebo podmienky stanovené v článku 28 ods. 7 nariadenia (EÚ) 2022/2554.