Člen 2 Vsebina, struktura in oblika informacij, ki jih morajo predložiti, razkriti ali sporočiti ključni tretji ponudniki storitev IKT

(a)

informacije o dogovorih in kopije pogodbenih dokumentov med:

(b)

informacije o organizacijski strukturi in strukturi skupine ključnega tretjega ponudnika storitev IKT, vključno z identifikacijo vseh subjektov, ki pripadajo isti skupini in neposredno ali posredno opravljajo storitve IKT za finančne subjekte v Uniji;

(c)

informacije o glavnih delničarjih, vključno z njihovo strukturo in geografsko razpršenostjo, in sicer o katerih koli izmed naslednjih:

(d)

informacije o tržnem deležu ključnega tretjega ponudnika storitev IKT glede na vrsto storitev na relevantnih trgih, na katerih posluje;

(e)

informacije o ureditvah notranjega upravljanja ključnega tretjega ponudnika storitev IKT, vključno s strukturo z opredelitvami pristojnosti in odgovornosti;

(f)

zapisnike sestankov upravljalnega organa ključnega tretjega ponudnika storitev IKT in vseh drugih ustreznih notranjih odborov, ki se kakor koli nanašajo na dejavnosti in tveganja v zvezi s storitvami tretjih oseb na področju IKT, ki podpirajo funkcije finančnih subjektov v Uniji;

(g)

informacije o varnosti IKT ključnega tretjega ponudnika storitev IKT, vključno z ustreznimi strategijami, cilji, politikami, postopki, protokoli, procesi, nadzornimi ukrepi za zaščito občutljivih podatkov, nadzorom dostopa, praksami šifriranja, načrti odzivanja na incidente in informacijami o skladnosti z vsemi ustreznimi predpisi ter nacionalnimi in mednarodnimi standardi, kadar je to ustrezno;

(h)

informacije o tehničnih in organizacijskih ukrepih za zagotovitev varstva in zaupnosti podatkov, vključno z osebnimi in neosebnimi podatki, izvedenimi nadzornimi ukrepi za zaščito občutljivih podatkov, nadzorom dostopa, praksami šifriranja, načrtom odzivanja na kršitve varstva podatkov; kadar v zvezi z obdelavo osebnih podatkov za tretjega ponudnika storitev IKT veljajo zakoni tretjih držav, vključno z zahtevo vlade tretjih držav za dostop, seznamom držav in veljavno zakonodajo;

(i)

informacije o mehanizmih, ki jih ključni tretji ponudnik storitev IKT ponuja finančnim subjektom Unije za prenosljivost podatkov, prenosljivost aplikacij in interoperabilnost;

(j)

informacije o lokaciji podatkovnih centrov in proizvodnih centrov IKT, ki se uporabljajo za opravljanje storitev za finančne subjekte, vključno s seznamom vseh ustreznih prostorov in objektov ključnega tretjega ponudnika storitev IKT, tudi zunaj Unije;

(k)

informacije o tem, kako ključni tretji ponudnik storitev IKT iz tretjih držav zagotavljajo storitve, vključno z informacijami o relevantnih pravnih določbah, ki se uporabljajo za osebne in neosebne podatke, ki jih obdeluje tretji ponudnik storitev IKT;

(l)

informacije o ukrepih, sprejetih za obravnavanje tveganj, ki izhajajo iz opravljanja storitev IKT s strani ključnega tretjega ponudnika storitev IKT in njegovih podizvajalcev iz tretjih držav;

(m)

informacije o okviru za obvladovanje tveganj in okviru za obvladovanje incidentov, vključno s politikami, postopki, orodji, mehanizmi in ureditvami upravljanja ključnega tretjega ponudnika storitev IKT in njegovih podizvajalcev, vključno s seznamom in opisom večjih incidentov z neposrednim ali posrednim učinkom na finančne subjekte v Uniji, vključno z relevantnimi podrobnostmi za določitev pomembnosti incidenta za finančne subjekte in oceno morebitnih čezmejnih učinkov;

(n)

informacije o okviru za upravljanje sprememb, vključno s politikami, postopki in kontrolami ključnega tretjega ponudnika storitev IKT in njegovih podizvajalcev;

(o)

informacije o splošnem okviru za odzivanje in okrevanje ključnega tretjega ponudnika storitev IKT, vključno z načrti neprekinjenega poslovanja ter povezanimi ureditvami in postopki, politiko razvoja življenjskega cikla programske opreme, načrti odzivanja in okrevanja ter povezanimi ureditvami in postopki, ureditvami in postopki za varnostno kopiranje;

(p)

informacije o spremljanju uspešnosti in varnosti ter sledenju incidentom ter informacije o mehanizmih poročanja, povezanih z uspešnostjo storitev, incidenti in skladnostjo z dogovorjenimi sporazumi o ravni storitev in cilji glede ravni storitev ali podobnimi dogovori med ključnimi tretjimi ponudniki storitev IKT in finančnimi subjekti v Uniji;

(q)

informacije o okviru tretjih oseb za upravljanje IKT ključnega tretjega ponudnika storitev IKT, vključno s strategijami, politikami, postopki, procesi in kontrolami, tudi podrobnosti o potrebni skrbnosti in oceni tveganja, ki jo ključni tretji ponudnik storitev IKT opravi pri svojih podizvajalcih, preden z njimi sklene sporazum za spremljanje odnosa, ki zajema vsa zadevna tveganja na področju IKT in tveganja nasprotne stranke;

(r)

izvlečke iz sistemov spremljanja in pregledovanja ključnega tretjega ponudnika storitev IKT in njegovih podizvajalcev, ki med drugim zajemajo spremljanje omrežja, strežnikov, aplikacij in varnosti, pregledovanje ranljivosti, upravljanje dnevnikov, spremljanje uspešnosti, obvladovanje incidentov in meritve glede na cilje zanesljivosti, kot so cilji glede ravni storitev;

(s)

izvlečke iz vseh produkcijskih, predprodukcijskih in testnih sistemov ali aplikacij, ki jih ključni tretji ponudnik storitev IKT in njegovi podizvajalci uporabljajo za neposredno ali posredno opravljanje storitev za finančne subjekte v Uniji;

(t)

poročila o skladnosti in razpoložljiva revizijska poročila ter vse ustrezne revizijske ugotovitve, vključno z revizijami, ki jih izvedejo nacionalni organi v Uniji in zunaj nje, kadar sporazumi o sodelovanju z ustreznimi organi določajo tako izmenjavo informacij, ali certificiranja, ki jih je izvedel ključni tretji ponudnik storitev IKT ali njegovi podizvajalci, vključno s poročili notranjih in zunanjih revizorjev, certificiranji ali ocenami skladnosti s standardi za posamezne sektorje. To vključuje informacije o vseh vrstah razpoložljivega neodvisnega testiranja odpornosti sistemov IKT ključnega tretjega ponudnika storitev IKT, vključno z vsemi vrstami penetracijskega testiranja na podlagi analize groženj, ki ga izvaja tretji ponudnik storitev IKT;

(u)

informacije o vseh ocenah, ki jih izvede ključni tretji ponudnik storitev IKT sam ali se izvedejo v njegovem imenu, pri čemer oceni primernost in integriteto posameznikov na ključnih položajih pri ključnem tretjem ponudniku storitev IKT;

(v)

informacije o kakršnem koli sanacijskem načrtu za obravnavanje priporočil v skladu s členom 3 in relevantne povezane informacije za potrditev, da so bili izvedeni popravni ukrepi;

(w)

informacije o razpoložljivih shemah usposabljanja zaposlenih in programih ozaveščanja o varnosti, vključno z, kjer je ustrezno, informacijami o naložbah, virih in metodah ključnega tretjega ponudnika storitev IKT pri usposabljanju njegovega osebja za ravnanje z občutljivimi finančnimi podatki in ohranjanje visoke ravni varnosti;

(x)

informacije o dejavnostih ključnega tretjega ponudnika storitev IKT in računovodskih izkazih, vključno z informacijami o proračunu in virih, povezanih z IKT in varnostjo.