Článok 2 Obsah, štruktúra a formát informácií, ktoré majú predložiť, zverejniť alebo oznámiť kritickí externí poskytovatelia IKT služieb

a)

informácie o dojednaniach a kópie zmluvných dokumentov medzi:

b)

informácie o organizačnej a skupinovej štruktúre kritického externého poskytovateľa IKT služieb vrátane identifikácie všetkých subjektov patriacich do tej istej skupiny, ktoré priamo alebo nepriamo poskytujú IKT služby finančným subjektom v Únii;

c)

informácie o hlavných akcionároch vrátane ich štruktúry a geografického rozloženia, ak ide o niektorý z týchto subjektov:

d)

informácie o trhovom podiele kritického externého poskytovateľa IKT služieb podľa druhu služieb na relevantných trhoch, na ktorých pôsobí;

e)

informácie o vnútorných mechanizmoch správy a riadenia kritického externého poskytovateľa IKT služieb vrátane štruktúry s líniami zodpovednosti za riadenie a pravidlami zodpovednosti;

f)

zápisnice zo zasadnutí riadiaceho orgánu kritického externého poskytovateľa IKT služieb a všetkých iných príslušných vnútorných výborov, ktoré sa akýmkoľvek spôsobom týkajú činností a rizík týkajúcich sa externých IKT služieb, ktoré podporujú funkcie finančných subjektov v Únii;

g)

informácie o bezpečnosti IKT kritického externého poskytovateľa IKT služieb vrátane príslušných stratégií, cieľov, politík, postupov, protokolov, procesov, kontrolných opatrení na ochranu citlivých údajov, kontrol prístupu, postupov šifrovania, plánov reakcie na incidenty a informácií o dodržiavaní všetkých príslušných predpisov a prípadne vnútroštátnych a medzinárodných noriem;

h)

informácie o technických a organizačných opatreniach na zabezpečenie ochrany údajov a dôvernosti údajov vrátane osobných a iných ako osobných údajov, zavedených kontrolných opatrení na ochranu citlivých údajov, prístupu, kontrol postupov šifrovania, plánu reakcie na porušenie ochrany údajov. Ak v súvislosti so spracúvaním osobných údajov externý poskytovateľ IKT služieb podlieha právnym predpisom tretích krajín vrátane žiadosti vlády tretej krajiny o prístup, zoznam krajín a uplatniteľných právnych predpisov:

i)

informácie o mechanizmoch prenosnosti údajov, prenosnosti aplikácií a interoperability, ktoré kritický externý poskytovateľ IKT služieb ponúka finančným subjektom Únie;

j)

informácie o umiestnení dátových centier a centier poskytovania IKT používaných na účely poskytovania služieb finančným subjektom vrátane zoznamu všetkých relevantných priestorov a zariadení kritického externého poskytovateľa IKT služieb, a to aj mimo Únie;

k)

informácie o poskytovaní služieb kritickým externým poskytovateľom IKT služieb z tretích krajín vrátane informácií o príslušných právnych ustanoveniach uplatniteľných na osobné a iné ako osobné údaje spracúvané externým poskytovateľom IKT služieb;

l)

informácie o opatreniach prijatých na riešenie rizík vyplývajúcich z poskytovania IKT služieb kritickým externým poskytovateľom IKT služieb a jeho subdodávateľmi z tretích krajín;

m)

informácie o rámci riadenia rizík a rámci riadenia incidentov vrátane politík, postupov, nástrojov, mechanizmov a mechanizmov správy a riadenia kritického externého poskytovateľa IKT služieb a jeho subdodávateľov vrátane zoznamu a opisu závažných incidentov s priamym alebo nepriamym vplyvom na finančné subjekty v Únii vrátane relevantných údajov na určenie závažnosti incidentu na finančné subjekty a posúdenie možných cezhraničných vplyvov;

n)

informácie o rámci riadenia zmien vrátane politík, postupov a kontrol kritického externého poskytovateľa IKT služieb a jeho subdodávateľov;

o)

informácie o celkovom rámci reakcie a obnovy kritického externého poskytovateľa IKT služieb vrátane plánov kontinuity činností a súvisiacich opatrení a postupov, politiky životného cyklu vývoja softvéru, plánov reakcie a obnovy a súvisiacich opatrení a postupov, politík týkajúcich sa opatrení a postupov zálohovania;

p)

informácie o monitorovaní výkonnosti, monitorovaní bezpečnosti a sledovaní incidentov, ako aj informácie o mechanizmoch nahlasovania týkajúcich sa výkonnosti služieb, incidentov a súladu s dohodnutými dohodami o úrovni poskytovaných služieb a cieľmi týkajúcimi sa úrovne služieb alebo podobnými dojednaniami medzi kritickými externými poskytovateľmi IKT služieb a finančnými subjektmi v Únii;

q)

informácie o externom rámci riadenia IKT kritického externého poskytovateľa IKT služieb, vrátane stratégií, politík, postupov, procesov a kontrol vrátane údajov o náležitej starostlivosti a posúdení rizika, ktoré vykonal kritický externý poskytovateľ IKT služieb u svojich subdodávateľov pred uzavretím dohody s nimi a s cieľom monitorovať vzťah zahŕňajúci všetky príslušné IKT riziká a riziká protistrany;

r)

extrakcie z monitorovacích a skenovacích systémov kritického externého poskytovateľa IKT služieb a jeho subdodávateľov, ktoré zahŕňajú okrem iného monitorovanie siete, monitorovanie serverov, monitorovanie aplikácií, monitorovanie bezpečnosti, skenovanie zraniteľnosti, riadenie záznamov (logov), monitorovanie výkonnosti, riadenie incidentov a merania vzhľadom na ciele spoľahlivosti, ako sú ciele týkajúce sa úrovne služieb;

s)

extrakcie z každého výrobného, predvýrobného a testovacieho systému alebo aplikácie, ktoré používa kritický externý poskytovateľ IKT služieb a jeho subdodávatelia na priame alebo nepriame poskytovanie služieb finančným subjektom v Únii;

t)

správy o dodržiavaní súladu a dostupné audítorské správy, ako aj všetky relevantné zistenia auditu vrátane auditov vykonaných vnútroštátnymi orgánmi v Únii a mimo Únie, ak sa v dohodách o spolupráci s príslušnými orgánmi stanovuje takáto výmena informácií, alebo certifikácie, ktoré získal kritický externý poskytovateľ IKT služieb alebo jeho subdodávatelia, vrátane správ od interných a externých audítorov, certifikácií alebo posúdení súladu s normami platnými v jednotlivých odvetviach. Zahŕňa to informácie o každom type dostupného nezávislého testovania odolnosti IKT systémov kritického externého poskytovateľa IKT služieb vrátane každého typu penetračného testovania na základe konkrétnej hrozby vykonávaného externým poskytovateľom IKT služieb;

u)

informácie o všetkých posúdeniach vykonaných kritickým externým poskytovateľom IKT služieb na jeho žiadosť alebo v jeho mene, ktorými sa vyhodnocuje vhodnosť a integrita osôb zastávajúcich kľúčové pozície v rámci kritického externého poskytovateľa IKT služieb;

v)

informácie o každom pláne nápravy na riešenie odporúčaní podľa článku 3 a príslušné súvisiace informácie na potvrdenie vykonania nápravných opatrení;

w)

informácie o dostupných systémoch odbornej prípravy zamestnancov a programoch zvyšovania informovanosti o bezpečnosti vrátane, ak je to relevantné, informácií o investíciách, zdrojoch a metódach kritického externého poskytovateľa IKT služieb, pokiaľ ide o odbornú prípravu zamestnancov v oblasti zaobchádzania s citlivými finančnými údajmi a zachovávania vysokej úrovne bezpečnosti;

x)

informácie o činnostiach kritického externého poskytovateľa IKT služieb a finančné výkazy vrátane informácií o rozpočte a zdrojoch súvisiacich s IKT a bezpečnosťou.