Člen 4 Pogoji, pod katerimi se lahko storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihov bistven del, oddajo v podizvajanje

(a)

da je tretji ponudnik storitev IKT odgovoren za opravljanje storitev, ki jih opravljajo podizvajalci;

(b)

da mora tretji ponudnik storitev IKT spremljati vse podizvajalske storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, da se zagotovi stalno izpolnjevanje njegovih pogodbenih obveznosti do finančnega subjekta;

(c)

obveznosti tretjega ponudnika storitev IKT glede spremljanja in poročanja finančnemu subjektu v zvezi s podizvajalci, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele;

(d)

da mora tretji ponudnik storitev IKT oceniti vsa tveganja, povezana s sedežem sedanjih ali potencialnih podizvajalcev, ki opravljajo storitev IKT, ki podpira kritične ali pomembne funkcije ali njihove bistvene dele, in njihovih obvladujočih podjetij ter sedežem, od koder se zadevna storitev IKT opravlja;

(e)

lokacijo podatkov, ki jih obdeluje ali hrani podizvajalec, kadar je to ustrezno;

(f)

da mora tretji ponudnik storitev IKT v svoji pogodbi s podizvajalci določiti obveznosti tega podizvajalca glede spremljanja in poročanja do tretjega ponudnika storitev IKT in, če je tako dogovorjeno, do finančnega subjekta;

(g)

da mora tretji ponudnik storitev IKT zagotoviti neprekinjenost storitev IKT, ki podpirajo kritične ali pomembne funkcije, v celotni verigi podizvajalcev, če podizvajalec IKT ne izpolni svojih pogodbenih obveznosti;

(h)

da pogodbeni dogovor med tretjim ponudnikom storitev IKT in njegovimi podizvajalci vsebuje zahteve glede poslovnih načrtov kriznih ukrepov iz člena 30(3), točka (c), Uredbe (EU) 2022/2554 in določa ravni storitev, ki jih morajo podizvajalci IKT izpolnjevati v zvezi s temi načrti;

(i)

da so v pogodbenem dogovoru med tretjim ponudnikom storitev IKT in njegovimi podizvajalci določeni varnostni standardi IKT in vse dodatne varnostne zahteve iz člena 30(3), točka (c), Uredbe (EU) 2022/2554;

(j)

da mora podizvajalec finančnemu subjektu ter ustreznim pristojnim organom in organom za reševanje podeliti enake pravice do dostopa, inšpekcijskega pregleda in revizije, kot so navedene v členu 30(3), točka (e), Uredbe (EU) 2022/2554;

(k)

da mora tretji ponudnik storitev IKT obvestiti finančni subjekt o vseh pomembnih spremembah dogovorov o podizvajanju;

(l)

da ima finančni subjekt pravico prekiniti pogodbo s tretjim ponudnikom storitev IKT, kadar so izpolnjeni pogoji iz člena 6 te uredbe ali pogoji iz člena 28(7) Uredbe (EU) 2022/2554.