+Third-party Critical Subcontracting Management

Third-party Critical Subcontracting Management

Delineate critical and important ICT services in contracts with third-party ICT service providers, specifying conditions for subcontracting. Require continual monitoring of subcontracted services supporting critical functions to ensure compliance with contractual obligations. Detail monitoring and reporting responsibilities of the third-party service provider to the financial entity, including risk assessments related to subcontractor locations and data ownership. Mandate incident response and business continuity plans for subcontractors, along with adherence to specified service levels and security standards. Retain termination rights for the financial entity in cases of unauthorized subcontracting or failure to meet agreed-upon service levels. Implement changes relative to contractual agreements as soon as possible and document the planned timeline for the implementation.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 26 4

4.   Bez toho, aby bol dotknutý odsek 2 prvý a druhý pododsek, ak sa opodstatnene očakáva, že účasť externého poskytovateľa IKT služieb na TLPT uvedenom v odseku 3, by mala nepriaznivý vplyv na kvalitu alebo bezpečnosť služieb, ktoré externý poskytovateľ IKT služieb poskytuje zákazníkom, ktorí sú subjektmi, na ktoré sa toto nariadenie nevzťahuje, alebo na dôvernosť údajov súvisiacich s takýmito službami, finančný subjekt a externý poskytovateľ IKT služieb sa môžu písomne dohodnúť, že externý poskytovateľ IKT služieb priamo vstúpi do zmluvných dojednaní s externým testovacím subjektom na účely vykonania združeného TLPT riadeného jedným určeným finančným subjektom, ktoré zahŕňa niekoľko finančných subjektov (ďalej len „združené testovanie“), ktorým externý poskytovateľ IKT služieb poskytuje IKT služby.

Toto združené testovanie sa vzťahuje na príslušnú škálu IKT služieb podporujúcich kritické alebo dôležité funkcie, v súvislosti s ktorými finančné subjekty uzavreli zmluvy s príslušným externým poskytovateľom IKT služieb. Združené testovanie sa považuje za TLPT vykonané finančnými subjektmi, ktoré sa zúčastňujú na združenom testovaní.

Počet finančných subjektov zúčastňujúcich sa na združenom testovaní sa náležite kalibruje s prihliadnutím na zložitosť a typy príslušných služieb.
EULAW Článok 30 3

3.   Zmluvné dojednania o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie zahŕňajú okrem prvkov uvedených v odseku 2 aspoň tieto prvky:

a)

úplné opisy úrovne služieb vrátane ich aktualizácií a revízií, ako aj presné kvantitatívne a kvalitatívne výkonnostné ciele v rámci dohodnutých úrovní služieb, aby finančný subjekt mohol účinne monitorovať IKT služby a mal možnosť bez zbytočného odkladu vykonať primerané nápravné opatrenia v prípade nesplnenia dohodnutých úrovní služieb;

b)

výpovedné lehoty a nahlasovacie povinnosti externého poskytovateľa IKT služieb voči finančnému subjektu vrátane oznamovania akéhokoľvek vývoja, ktorý by mohol mať významný vplyv na schopnosť externého poskytovateľa IKT služieb účinne poskytovať IKT služby podporujúce kritické alebo dôležité funkcie v súlade s dohodnutými úrovňami služieb;

c)

požiadavky na externého poskytovateľa IKT služieb na vykonávanie a testovanie obchodných krízových plánov a na zavedenie bezpečnostných opatrení, nástrojov a politík v oblasti IKT, ktoré poskytujú primeranú úroveň bezpečnosti na poskytovanie služieb zo strany finančného subjektu v súlade s jeho regulačným rámcom;

d)

povinnosť externého poskytovateľa IKT služieb zúčastňovať sa a plne spolupracovať na TLPT finančného subjektu, ako sa uvádza v článkoch 26 a 27;

e)

právo priebežne monitorovať výkonnosť externého poskytovateľa IKT služieb, ktoré zahŕňa:

i)

neobmedzené práva na prístup, inšpekciu a audit vykonávané finančným subjektom alebo vymenovanou treťou stranou a príslušným orgánom, ako aj právo vyhotovovať kópie príslušnej dokumentácie na mieste, ak je kritická pre operácie externého poskytovateľa IKT služieb, ktorého účinnému vykonávaniu nebránia ani ho neobmedzujú iné zmluvné dojednania alebo vykonávacie politiky;

ii)

právo dohodnúť sa na alternatívnych úrovniach zabezpečenia, ak sú dotknuté práva iných klientov;

iii)

povinnosť externého poskytovateľa IKT služieb plne spolupracovať počas inšpekcií na mieste a auditov vykonávaných príslušnými orgánmi, hlavným orgánom dozoru, finančným subjektom alebo vymenovanou treťou stranou; a

iv)

povinnosť poskytnúť podrobnosti o rozsahu, postupoch, ktoré sa majú dodržiavať, a frekvencii takýchto inšpekcií a auditov;

f)

stratégie ukončenia angažovanosti, najmä zavedenie primeraného povinného prechodného obdobia:

i)

počas ktorého bude externý poskytovateľ IKT služieb naďalej poskytovať príslušné funkcie alebo IKT služby s cieľom znížiť riziko narušenia na úrovni finančného subjektu alebo zabezpečiť efektívne riešenie jeho krízovej situácie a reštrukturalizáciu;

ii)

ktoré umožňuje finančnému subjektu prejsť k inému externému poskytovateľovi IKT služieb alebo začať využívať vlastné riešenia v závislosti od zložitosti poskytovanej služby.

Odchylne od písmena e) sa externý poskytovateľ IKT služieb a finančný subjekt, ktorý je mikropodnikom, môžu dohodnúť, že práva finančného subjektu na prístup, inšpekciu a audit možno delegovať na nezávislú tretiu stranu, ktorú určí externý poskytovateľ IKT služieb, a že finančný subjekt môže kedykoľvek od tretej strany požadovať informácie a uistenie o výkonnosti externého poskytovateľa IKT služieb.
EULAW Článok 30 4

4.   Pri rokovaniach o zmluvných dojednaniach finančné subjekty a externí poskytovatelia IKT služieb zvážia použitie štandardných zmluvných doložiek vypracovaných verejnými orgánmi pre konkrétne služby.