a)

nazwę podmiotu prawnego;

b)

kod identyfikacyjny podmiotu prawnego;

c)

imię i nazwisko osoby wyznaczonej do kontaktów oraz dane kontaktowe kluczowego zewnętrznego dostawcy usług ICT;

d)

państwo, w którym podmiot prawny ma siedzibę statutową;

e)

opis struktury korporacyjnej, w tym co najmniej informacje na temat jednostki dominującej i innych jednostek powiązanych świadczących usługi ICT na rzecz unijnych podmiotów finansowych. Informacje te obejmują, w stosownych przypadkach:

f)

oszacowanie udziału w rynku zewnętrznego dostawcy usług ICT w unijnym sektorze finansowym oraz oszacowanie udziału w rynku w podziale na rodzaje podmiotów finansowych, o których mowa w art. 2 ust. 1 rozporządzenia (UE) 2022/2554, za rok złożenia wniosku o wyznaczenie go jako kluczowego i rok poprzedzający złożenie tego wniosku;

g)

opis każdej usługi ICT świadczonej na rzecz unijnych podmiotów finansowych, w tym:

h)

wykaz podmiotów finansowych, które korzystają z usług ICT świadczonych przez zewnętrznego dostawcę usług ICT, w tym następujące informacje dotyczące każdego podmiotu finansowego, który korzysta z usług, jeżeli są dostępne:

i)

wykaz kluczowych zewnętrznych dostawców usług ICT wymienionych w najnowszym dostępnym wykazie takich dostawców opublikowanym przez EUN zgodnie z art. 31 ust. 9 rozporządzenia (UE) 2022/2554, którzy korzystają z usług świadczonych przez wnioskodawcę, jeżeli taki wykaz jest dostępny;

j)

samoocenę w odniesieniu do:

k)

informacje na temat przyszłej strategii biznesowej w odniesieniu do świadczenia usług ICT i udostępniania infrastruktury na rzecz podmiotów finansowych w Unii, w tym na temat wszelkich planowanych zmian w strukturze grupy lub zarządzania, wchodzenia na nowe rynki lub podejmowania nowych rodzajów działalności;

l)

wskazanie podwykonawców zewnętrznego dostawcy usług ICT, którzy zostali wyznaczeni jako kluczowi zewnętrzni dostawcy usług ICT;

m)

wszelkie inne powody istotne dla wniosku zewnętrznego dostawcy usług ICT o wyznaczenie go jako kluczowego.

a)

informacje o umowach i kopie dokumentów umownych między:

b)

informacje na temat struktury organizacyjnej i grupowej kluczowego zewnętrznego dostawcy usług ICT, w tym wskazanie wszystkich podmiotów należących do tej samej grupy, które bezpośrednio lub pośrednio świadczą usługi ICT na rzecz podmiotów finansowych w Unii;

c)

informacje na temat głównych akcjonariuszy lub udziałowców, w tym ich struktury i rozkładu geograficznego, każdego z następujących podmiotów:

d)

informacje na temat udziału kluczowego zewnętrznego dostawcy usług ICT w rynku w podziale na rodzaj usług w odniesieniu do odpowiednich rynków, na których dostawca prowadzi działalność;

e)

informacje na temat wewnętrznych zasad zarządzania kluczowego zewnętrznego dostawcy usług ICT, w tym na temat struktury z uwzględnieniem zakresów odpowiedzialności za zarządzanie i zasad rozliczalności;

f)

protokoły posiedzeń organu zarządzającego kluczowego zewnętrznego dostawcy usług ICT i wszelkich innych odpowiednich komitetów wewnętrznych, które to protokoły w jakikolwiek sposób odnoszą się do działań i ryzyka związanych z zewnętrznymi usługami ICT wspierającymi funkcje podmiotów finansowych w Unii;

g)

informacje na temat bezpieczeństwa ICT kluczowego zewnętrznego dostawcy usług ICT, w tym na temat odpowiednich strategii, celów, polityk, procedur, protokołów, procesów, środków kontroli mających na celu ochronę danych wrażliwych, kontroli dostępu, praktyk szyfrowania, planów reagowania na incydenty, oraz, w stosownych przypadkach, informacje na temat zgodności ze wszystkimi odpowiednimi przepisami oraz normami krajowymi i międzynarodowymi;

h)

informacje na temat środków technicznych i organizacyjnych służących zapewnieniu ochrony danych i poufności danych, w tym danych osobowych i nieosobowych, wdrożonych środków kontroli mających na celu ochronę danych wrażliwych, kontroli dostępu, praktyk szyfrowania, planu reagowania na naruszenia ochrony danych; jeżeli w odniesieniu do przetwarzania danych osobowych zewnętrzny dostawca usług ICT podlega przepisom państw trzecich, w tym wymogowi złożenia do rządu państwa trzeciego wniosku o udzielenie dostępu - wykaz państw i mających zastosowanie przepisów;

i)

informacje na temat mechanizmów, jakie kluczowy zewnętrzny dostawca usług ICT oferuje unijnym podmiotom finansowym w zakresie przenoszenia danych, możliwości przenoszenia aplikacji i interoperacyjności;

j)

informacje na temat lokalizacji ośrodków przetwarzania danych i ośrodków produkcji ICT wykorzystywanych do celów świadczenia usług na rzecz podmiotów finansowych, w tym wykaz wszystkich odpowiednich obiektów i pomieszczeń kluczowego zewnętrznego dostawcy usług ICT, w tym poza Unią;

k)

informacje na temat świadczenia usług przez kluczowego zewnętrznego dostawcę usług ICT z państwa trzeciego, w tym informacje na temat odpowiednich przepisów mających zastosowanie do danych osobowych i nieosobowych przetwarzanych przez zewnętrznego dostawcę usług ICT;

l)

informacje na temat środków zastosowanych w celu przeciwdziałania ryzyku wynikającemu ze świadczenia usług ICT przez kluczowego zewnętrznego dostawcę usług ICT i jego podwykonawców z państw trzecich;

m)

informacje na temat ram zarządzania ryzykiem i ram zarządzania incydentami, w tym na temat polityk, procedur, narzędzi, mechanizmów i zasad zarządzania kluczowego zewnętrznego dostawcy usług ICT i jego podwykonawców, w tym wykaz i opis poważnych incydentów mających bezpośredni lub pośredni wpływ na podmioty finansowe w Unii, wraz z istotnymi szczegółami umożliwiającymi określenie znaczenia incydentu dla podmiotów finansowych i ocenę ewentualnych skutków transgranicznych;

n)

informacje na temat ram zarządzania zmianami, w tym na temat polityk, procedur i kontroli kluczowego zewnętrznego dostawcy usług ICT i jego podwykonawców;

o)

informacje na temat ogólnych ram reagowania i przywracania sprawności kluczowego zewnętrznego dostawcy usług ICT, w tym na temat planów ciągłości działania oraz powiązanych ustaleń i procedur, polityki cyklu życia oprogramowania, planów reagowania i przywracania sprawności oraz powiązanych ustaleń i procedur, ustaleń i procedur dotyczących polityki tworzenia kopii zapasowych;

p)

informacje na temat monitorowania skuteczności działania, monitorowania bezpieczeństwa i śledzenia incydentów, a także informacje na temat mechanizmów zgłaszania związanych z wykonywaniem usług, incydentami i zgodnością z uzgodnionymi umowami o gwarantowanym poziomie usług i celami dotyczącymi gwarantowanego poziomu usług lub podobnymi uzgodnieniami między kluczowymi zewnętrznymi dostawcami usług ICT i podmiotami finansowymi w Unii;

q)

informacje na temat ram zarządzania zewnętrznymi dostawcami usług ICT kluczowego zewnętrznego dostawcy usług ICT, w tym na temat strategii, polityk, procedur, procesów i kontroli, wraz ze szczegółowymi informacjami na temat należytej staranności i oceny ryzyka przeprowadzanej przez kluczowego zewnętrznego dostawcę usług ICT wobec jego podwykonawców przed zawarciem z nimi umowy oraz w celu monitorowania relacji obejmującego wszelkie istotne ryzyko związane z ICT i ryzyko kontrahenta;

r)

wyciągi z systemów monitorowania i skanowania kluczowego zewnętrznego dostawcy usług ICT i jego podwykonawców, obejmujące m.in. monitorowanie sieci, monitorowanie serwerów, monitorowanie aplikacji, monitorowanie bezpieczeństwa, skanowanie pod kątem podatności, zarządzanie rejestrami zdarzeń, monitorowanie skuteczności działania, zarządzanie incydentami i pomiary pod kątem realizacji celów w zakresie niezawodności, takich jak cele dotyczące gwarantowanego poziomu usług;

s)

wyciągi z wszelkich systemów lub aplikacji produkcyjnych, przedprodukcyjnych i testowych wykorzystywanych przez kluczowego zewnętrznego dostawcę usług ICT i jego podwykonawców do świadczenia, bezpośrednio lub pośrednio, usług na rzecz podmiotów finansowych w Unii;

t)

sprawozdania dotyczące zgodności i dostępne sprawozdania z audytów oraz wszelkie istotne ustalenia z audytów, w tym audytów przeprowadzonych przez organy krajowe w Unii i poza Unią, w przypadku gdy umowy o współpracy z odpowiednimi organami przewidują taką wymianę informacji, lub certyfikaty uzyskane przez kluczowego zewnętrznego dostawcę usług ICT lub jego podwykonawców, w tym sprawozdania audytorów wewnętrznych i zewnętrznych, certyfikaty lub oceny zgodności z normami branżowymi. Obejmuje to informacje na temat wszelkiego rodzaju dostępnych niezależnych testów odporności systemów ICT kluczowego zewnętrznego dostawcy usług ICT, w tym na temat wszelkiego rodzaju testów penetracyjnych pod kątem wyszukiwania zagrożeń przeprowadzanych przez zewnętrznego dostawcę usług ICT;

u)

informacje na temat wszelkich ocen przeprowadzonych przez kluczowego zewnętrznego dostawcę usług ICT na jego żądanie lub w jego imieniu, dotyczących odpowiedniości i uczciwości osób zajmujących kluczowe stanowiska u kluczowego zewnętrznego dostawcy usług ICT;

v)

informacje na temat wszelkich planów naprawczych służących realizacji zaleceń zgodnie z art. 3 oraz odpowiednie informacje powiązane umożliwiające potwierdzenie wdrożenia działań naprawczych;

w)

informacje na temat dostępnych programów szkolenia pracowników i programów zwiększania świadomości w zakresie bezpieczeństwa, w tym, w stosownych przypadkach, informacje na temat inwestycji, zasobów i metod kluczowego zewnętrznego dostawcy usług ICT w zakresie szkolenia pracowników w dziedzinie przetwarzania wrażliwych danych finansowych i utrzymania wysokiego poziomu bezpieczeństwa;

x)

informacje na temat działalności kluczowego zewnętrznego dostawcy usług ICT oraz sprawozdania finansowe, w tym informacje na temat budżetu i zasobów związanych z ICT i bezpieczeństwem.

a)

sprawozdania śródokresowe i powiązane dokumenty uzupełniające określające postępy we wdrażaniu działań i środków określonych w sprawozdaniu przekazanym wiodącemu organowi nadzorczemu przez kluczowego zewnętrznego dostawcę usług ICT w terminie określonym przez wiodący organ nadzorczy;

b)

sprawozdania końcowe i powiązane dokumenty uzupełniające określające działania podjęte przez kluczowego zewnętrznego dostawcę usług ICT lub środki zaradcze wdrożone przez niego w celu ograniczenia ryzyka zidentyfikowanego w otrzymanych zaleceniach.

a)

zachowują strukturę wskazaną przez wiodący organ nadzorczy w jego wniosku o udzielenie informacji;

b)

wyraźnie wskazują odpowiednią informację w przedłożonej dokumentacji.

a)

adekwatność i spójność środków naprawczych i zaradczych wdrożonych przez podmioty finansowe w celu ograniczenia ryzyka zidentyfikowanego w zaleceniach;

b)

przeprowadzoną przez wiodący organ nadzorczy ocenę zastosowania przez kluczowego zewnętrznego dostawcę usług ICT środków i działań zawartych w sprawozdaniu, jeżeli wpływa to na narażenie podmiotów finansowych podlegających jego kompetencjom na ryzyko zidentyfikowane w zaleceniach;

c)

opinię wszelkich innych właściwych organów, z którymi skonsultowano się zgodnie z art. 42 ust. 5 rozporządzenia (UE) 2022/2554;

d)

czy wiodący organ nadzorczy uznał działania i środki zaradcze wdrożone przez kluczowego zewnętrznego dostawcę usług ICT za odpowiednie do ograniczenia narażenia podmiotów finansowych podlegających jego kompetencjom na ryzyko zidentyfikowane w zaleceniach.