a)

rodzajem usług ICT wspierających krytyczne lub istotne funkcje objętych ustaleniami umownymi między podmiotem finansowym a zewnętrznym dostawcą usług ICT;

b)

rodzajem usług ICT objętych ustaleniami umownymi między zewnętrznym dostawcą usług ICT a jego podwykonawcami;

c)

lokalizacją podwykonawcy usług ICT świadczącego usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części lub lokalizacją jego jednostki dominującej;

d)

długością i złożonością łańcucha podwykonawców świadczących usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części, z których to podwykonawców korzysta zewnętrzny dostawca usług ICT;

e)

charakterem danych udostępnianych podwykonawcom usług ICT świadczącym usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części;

f)

tym, czy usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części są świadczone przez podwykonawców zlokalizowanych w państwie członkowskim czy w państwie trzecim, w tym elementy związane z miejscem, z którego usługi ICT są faktycznie świadczone, oraz miejscem, w którym dane są faktycznie przetwarzane i przechowywane;

g)

tym, czy podwykonawcy ICT świadczący usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części należą do tej samej grupy co podmiot finansowy, na rzecz którego świadczone są te usługi;

h)

tym, czy podwykonawcy ICT świadczący usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części uzyskali zezwolenie, są zarejestrowani lub podlegają nadzorowi właściwego organu w państwie członkowskim lub czy podlegają ramom nadzoru na podstawie rozdziału V sekcja II rozporządzenia (UE) 2022/2554;

i)

tym, czy zewnętrzni dostawcy usług ICT wspierających krytyczne lub istotne funkcje lub ich istotne części uzyskali zezwolenie, są zarejestrowani lub podlegają nadzorowi właściwego organu w państwie trzecim;

j)

tym, czy świadczenie usług ICT wspierających krytyczne lub istotne funkcje lub ich istotne części ogranicza się do jednego podwykonawcy zewnętrznego dostawcy usług ICT lub niewielkiej liczby takich podwykonawców;

k)

tym, czy podwykonawstwo usług ICT wspierających krytyczne lub istotne funkcje lub ich istotne części miałoby wpływ na możliwość przekazania tych usług ICT innemu zewnętrznemu dostawcy usług ICT;

l)

potencjalnym wpływem zakłóceń na ciągłość i dostępność usług ICT wspierających krytyczne lub istotne funkcje lub ich istotne części świadczonych przez zewnętrznego dostawcę usług ICT w przypadku korzystania z podwykonawcy świadczącego usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części.

a)

procesy należytej staranności zewnętrznego dostawcy usług ICT gwarantują, że jest on w stanie wybrać potencjalnych podwykonawców usług ICT i ocenić ich zdolności operacyjne i finansowe pod kątem świadczenia usług ICT wspierających krytyczne lub istotne funkcje lub ich istotne części, w tym przez udział, gdy wymaga tego podmiot finansowy, w testowaniu operacyjnej odporności cyfrowej, o którym mowa w rozdziale IV rozporządzenia (UE) 2022/2554;

b)

zewnętrzny dostawca usług ICT jest w stanie wskazać wszystkich podwykonawców, którzy świadczą usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części, powiadamiać i informować podmiot finansowy o tych podwykonawcach, a także jest w stanie udzielić podmiotowi finansowemu wszelkich informacji, które mogą być niezbędne do oceny warunków określonych w niniejszym artykule;

c)

zewnętrzny dostawca usług ICT zapewnia, aby ustalenia umowne z podwykonawcami świadczącymi usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części umożliwiały podmiotowi finansowemu wywiązanie się z jego własnych obowiązków wynikających z rozporządzenia (UE) 2022/2554 oraz mających zastosowanie przepisów unijnych i krajowych;

d)

podwykonawca przyznaje podmiotowi finansowemu oraz właściwym organom i organom ds. restrukturyzacji i uporządkowanej likwidacji takie same umowne prawa dostępu i kontroli, jak te przyznane przez zewnętrznego dostawcę usług ICT;

e)

bez uszczerbku dla ostatecznej odpowiedzialności podmiotu finansowego za wywiązywanie się ze swoich obowiązków prawnych i regulacyjnych zewnętrzny dostawca usług ICT sam dysponuje wystarczającymi zdolnościami, wiedzą fachową oraz odpowiednimi zasobami finansowymi, ludzkimi i technicznymi, aby monitorować ryzyko związane z ICT na poziomie podwykonawców, w tym przez stosowanie odpowiednich standardów bezpieczeństwa informacji oraz zapewnienie odpowiedniej struktury organizacyjnej, zarządzania ryzykiem i kontroli wewnętrznych, a także zgłaszania incydentów i reagowania na nie;

f)

podmiot finansowy dysponuje wystarczającymi zdolnościami, wiedzą fachową oraz odpowiednimi zasobami finansowymi, ludzkimi i technicznymi, aby monitorować ryzyko związane z ICT w odniesieniu do usługi wspierającej krytyczne lub istotne funkcje lub ich istotne części, która została zlecona podwykonawcy, w tym poprzez stosowanie odpowiednich standardów bezpieczeństwa informacji oraz zapewnienie odpowiedniej struktury organizacyjnej i zarządzania ryzykiem, reagowania na incydenty, zarządzania ciągłością działania i kontroli wewnętrznych;

g)

podmiot finansowy ocenił wpływ ewentualnej awarii podwykonawcy świadczącego usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotną część na operacyjną odporność cyfrową podmiotu finansowego i jego kondycję finansową;

h)

podmiot finansowy ocenił ryzyko związane z lokalizacją potencjalnych podwykonawców w odniesieniu do usług ICT wspierających krytyczne lub istotne funkcje lub ich istotną część świadczonych przez zewnętrznego dostawcę usług ICT;

i)

podmiot finansowy ocenił ryzyko koncentracji w obszarze ICT na poziomie podmiotu zgodnie z art. 29 rozporządzenia (UE) 2022/2554;

j)

podmiot finansowy ocenił, czy istnieją jakiekolwiek przeszkody w wykonywaniu prawa audytu, kontroli i dostępu przez właściwe organy, organy ds. restrukturyzacji i uporządkowanej likwidacji lub podmiot finansowy, w tym osoby przez nie wyznaczone.

a)

że zewnętrzny dostawca usług ICT jest odpowiedzialny za świadczenie usług przez podwykonawców;

b)

że zewnętrzny dostawca usług ICT jest zobowiązany do monitorowania wszystkich zlecanych podwykonawcom usług ICT wspierających krytyczne lub istotne funkcje lub ich istotne części, w celu zapewnienia, by jego zobowiązania umowne wobec podmiotu finansowego były stale wypełniane;

c)

obowiązki zewnętrznego dostawcy usług ICT w zakresie monitorowania i sprawozdawczości wobec podmiotu finansowego w odniesieniu do podwykonawców świadczących usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części;

d)

że zewnętrzny dostawca usług ICT ma ocenić wszelkie ryzyko związane z lokalizacją obecnych lub potencjalnych podwykonawców świadczących usługi ICT wspierające krytyczne lub istotne funkcje lub ich istotne części oraz z lokalizacją ich jednostki dominującej, a także z miejscem, z którego świadczona jest dana usługa ICT;

e)

w stosownych przypadkach - miejsce przetwarzania lub przechowywania danych przez podwykonawcę;

f)

że zewnętrzny dostawca usług ICT ma określić w swojej umowie z podwykonawcami obowiązki tych podwykonawców w zakresie monitorowania i sprawozdawczości wobec zewnętrznego dostawcy usług ICT oraz, w stosownych przypadkach, wobec podmiotu finansowego;

g)

że zewnętrzny dostawca usług ICT ma zapewnić ciągłość usług ICT wspierających krytyczne lub istotne funkcje w całym łańcuchu podwykonawców w przypadku niewywiązania się przez podwykonawcę z jego zobowiązań umownych;

h)

że ustalenia umowne między zewnętrznym dostawcą usług ICT a jego podwykonawcami zawierają wymogi dotyczące planów awaryjnych, o których mowa w art. 30 ust. 3 lit. c) rozporządzenia (UE) 2022/2554, oraz określają gwarantowane poziomy usług, które mają zostać osiągnięte przez podwykonawców usług ICT w odniesieniu do tych planów;

i)

że ustalenia umowne między zewnętrznym dostawcą usług ICT a jego podwykonawcami określają standardy bezpieczeństwa ICT i wszelkie dodatkowe wymogi w zakresie bezpieczeństwa, o których mowa w art. 30 ust. 3 lit. c) rozporządzenia (UE) 2022/2554;

j)

że podwykonawca ma przyznać podmiotowi finansowemu oraz odpowiednim właściwym organom i organom ds. restrukturyzacji i uporządkowanej likwidacji takie same prawa dostępu, kontroli i audytu, jak prawa, o których mowa w art. 30 ust. 3 lit. e) rozporządzenia (UE) 2022/2554;

k)

że zewnętrzny dostawca usług ICT ma powiadamiać podmiot finansowy o wszelkich istotnych zmianach w umowach podwykonawstwa;

l)

że podmiot finansowy ma prawo wypowiedzieć umowę z zewnętrznym dostawcą usług ICT, jeżeli spełnione są warunki określone w art. 6 niniejszego rozporządzenia lub warunki określone w art. 28 ust. 7 rozporządzenia (UE) 2022/2554.

a)

wpływu na ryzyko, na które podmiot ten jest lub może być narażony;

b)

czy takie istotne zmiany mogą wpłynąć na zdolność zewnętrznego dostawcy usług ICT do wypełniania jego zobowiązań umownych wobec podmiotu finansowego.

a)

informuje o tym zewnętrznego dostawcę usług ICT;

b)

zgłasza sprzeciw wobec zmian i żąda modyfikacji tych zmian przed ich wprowadzeniem.

a)

podmiot finansowy wyraził sprzeciw wobec istotnych zmian w umowach podwykonawstwa usług wspierających krytyczne lub istotne funkcje i zażądał modyfikacji tych umów, ale mimo to zewnętrzny dostawca usług ICT wprowadził te istotne zmiany;

b)

zewnętrzny dostawca usług ICT wprowadził istotne zmiany w umowach podwykonawstwa usług wspierających krytyczne lub istotne funkcje lub ich istotne części przed końcem okresu powiadomienia bez ich zatwierdzenia przez podmiot finansowy;

c)

zewnętrzny dostawca usług ICT zleca podwykonawstwo usługi ICT wspierającej krytyczną lub istotną funkcję lub jej istotną część, a podwykonawstwo tej usługi nie jest wyraźnie dozwolone na podstawie umowy między podmiotem finansowym a zewnętrznym dostawcą usług ICT.