Člen 3 1

(a)

s postopki skrbnega pregleda tretji ponudnik storitev IKT zagotavlja, da lahko izbere in oceni operativne in finančne sposobnosti potencialnih podizvajalcev IKT za opravljanje storitev IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, vključno s sodelovanjem pri testiranju digitalne operativne odpornosti, kot je navedeno v poglavju IV Uredbe (EU) 2022/2554, kadar to zahteva finančni subjekt;

(b)

tretji ponudnik storitev IKT lahko identificira vse podizvajalce, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, obvesti finančni subjekt o teh podizvajalcih in mu zagotovi vse informacije, ki bi lahko bile potrebne za oceno pogojev iz tega člena;

(c)

tretji ponudnik storitev IKT zagotovi, da pogodbeni dogovori s podizvajalci, ki opravljajo storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihove bistvene dele, finančnemu subjektu omogočajo izpolnjevanje njegovih obveznosti, ki izhajajo iz Uredbe (EU) 2022/2554 ter veljavne zakonodaje Unije in nacionalne zakonodaje;

(d)

podizvajalec finančnemu subjektu ter pristojnim organom in organom za reševanje podeli enake pogodbene pravice do dostopa in inšpekcijskega pregleda, kot jih odobri tretji ponudnik storitev IKT;

(e)

brez poseganja v končno odgovornost finančnega subjekta, da izpolnjuje svoje pravne in regulativne obveznosti, ima tretji ponudnik storitev IKT zadostne sposobnosti, strokovno znanje in ustrezne finančne, človeške in tehnične vire za spremljanje tveganj na področju IKT na ravni podizvajalcev, vključno z uporabo ustreznih standardov informacijske varnosti in vzpostavitvijo ustrezne organizacijske strukture, obvladovanja tveganj in notranjih kontrol ter poročanja o incidentih in odzivov nanje;

(f)

finančni subjekt ima zadostne sposobnosti, strokovno znanje ter ustrezne finančne, človeške in tehnične vire za spremljanje tveganj na področju IKT, povezanih s storitvijo, ki podpira kritične ali pomembne funkcije ali njihove bistvene dele, ki je bila oddana v podizvajanje, vključno z uporabo ustreznih standardov informacijske varnosti ter vzpostavitvijo ustrezne organizacijske strukture in obvladovanja tveganj, odzivanja na incidente, upravljanja neprekinjenega poslovanja in notranjih kontrol;

(g)

finančni subjekt je ocenil učinek morebitnega prenehanja delovanja podizvajalca, ki opravlja storitve IKT, ki podpirajo kritične ali pomembne funkcije ali njihov bistven del, na digitalno operativno odpornost in finančno trdnost finančnega subjekta;

(h)

finančni subjekt je ocenil tveganja, povezana z lokacijo potencialnih podizvajalcev, v zvezi s storitvami IKT, ki podpirajo kritične ali pomembne funkcije ali njihov bistven del, ki jih opravlja tretji ponudnik storitev IKT;

(i)

finančni subjekt je ocenil tveganja koncentracije na področju IKT na ravni subjekta v skladu s členom 29 Uredbe (EU) 2022/2554;

(j)

finančni subjekt je ocenil, ali obstajajo kakršne koli ovire pri uveljavljanju pravic do revizije, inšpekcijskih pregledov in dostopa s strani pristojnih organov, organov za reševanje ali finančnega subjekta, vključno z osebami, ki so jih ti imenovali.