Článok 3 1

a)

postupy náležitej starostlivosti týkajúce sa externého poskytovateľa IKT služieb zabezpečujú, že môže vyberať a posudzovať prevádzkové a finančné schopnosti potenciálnych subdodávateľov IKT poskytovať IKT služby, ktoré podporujú kritické alebo dôležité funkcie alebo ich závažné časti, a v prípade, že to finančný subjekt vyžaduje, aj účasťou externého poskytovateľa IKT služieb na testovaní digitálnej prevádzkovej odolnosti, ako sa uvádza v kapitole IV nariadenia (EÚ) 2022/2554;

b)

externý poskytovateľ IKT služieb dokáže identifikovať všetkých subdodávateľov, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti, ako aj informovať finančný subjekt o uvedených subdodávateľoch a poskytovať finančnému subjektu všetky informácie, ktoré môžu byť potrebné na posudzovanie podmienok podľa tohto článku;

c)

externý poskytovateľ IKT služieb zabezpečuje, aby zmluvné dojednania so subdodávateľmi, ktorí poskytujú IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažné časti, umožňovali finančnému subjektu plniť si svoje vlastné povinnosti vyplývajúce z nariadenia (EÚ) 2022/2554 a dodržiavať uplatniteľné právne predpisy Únie a vnútroštátne právne predpisy;

d)

subdodávateľ udelí finančnému subjektu a príslušným orgánom a orgánom pre riešenie krízových situácií rovnaké zmluvné práva na prístup a inšpekciu, ako sú tie, ktoré mu udelil externý poskytovateľ IKT služieb;

e)

bez toho, aby bola dotknutá konečná zodpovednosť finančného subjektu za plnenie svojich právnych a regulačných povinností, samotný externý poskytovateľ IKT služieb má dostatočné schopnosti, odborné znalosti a primerané finančné, ľudské a technické zdroje na monitorovanie IKT rizík na úrovni subdodávateľov, a to aj uplatňovaním primeraných noriem v oblasti informačnej bezpečnosti a zavedením primeranej organizačnej štruktúry, riadenia rizík a vnútorných kontrol, ako aj nahlasovania incidentov a reakcií na ne;

f)

finančný subjekt má dostatočné schopnosti, odborné znalosti a primerané finančné, ľudské a technické zdroje na monitorovanie IKT rizík vo vzťahu k službe podporujúcej kritické alebo dôležité funkcie alebo ich závažné časti, ktorá bola zabezpečovaná s využitím subdodávateľov, a to aj uplatňovaním primeraných noriem v oblasti informačnej bezpečnosti a zavedením primeranej organizačnej štruktúry a riadenia rizík, reakcie na incidenty, riadenia kontinuity činností a vnútorných kontrol;

g)

finančný subjekt posúdil vplyv možného zlyhania subdodávateľa, ktorý poskytuje IKT služby podporujúce kritické alebo dôležité funkcie alebo ich závažnú časť, na digitálnu prevádzkovú odolnosť a finančnú situáciu finančného subjektu;

h)

finančný subjekt posúdil riziká spojené s miestom poskytovania IKT služieb potenciálnych subdodávateľov v súvislosti s IKT službami podporujúcimi kritické alebo dôležité funkcie alebo ich závažnú časť, ktoré poskytuje externý poskytovateľ IKT služieb;

i)

finančný subjekt posúdil riziká koncentrácie IKT na úrovni subjektu v súlade s článkom 29 nariadenia (EÚ) 2022/2554;

j)

finančný subjekt posúdil, či existujú prekážky pri uplatňovaní auditu, inšpekcie a prístupových práv príslušnými orgánmi, orgánmi pre riešenie krízových situácií alebo finančným subjektom vrátane osôb, ktoré tieto orgány vymenovali.