L_202500295EL.000101.fmx.xml

ΚΑΤ’ ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2025/295 ΤΗΣ ΕΠΙΤΡΟΠΗΣ

της 24ης Οκτωβρίου 2024

για τη συμπλήρωση του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα ρυθμιστικά τεχνικά πρότυπα για την εναρμόνιση με τους όρους που καθιστούν δυνατή την άσκηση δραστηριοτήτων εποπτείας

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,

Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

Έχοντας υπόψη τον κανονισμό (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014, (ΕΕ) αριθ. 909/2014 και (ΕΕ) 2016/1011 (1), και ιδίως το άρθρο 41 παράγραφος 2 δεύτερο εδάφιο,

Εκτιμώντας τα ακόλουθα:

(1)

Το πλαίσιο για την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα που θεσπίστηκε με τον κανονισμό (ΕΕ) 2022/2554 ορίζει ενωσιακό πλαίσιο εποπτείας για τους τρίτους παρόχους υπηρεσιών τεχνολογίας των πληροφοριών και των επικοινωνιών (ΤΠΕ) στον χρηματοοικονομικό τομέα που ορίζονται ως κρίσιμοι σύμφωνα με το άρθρο 31 του εν λόγω κανονισμού.

(2)

Ένας τρίτος πάροχος υπηρεσιών ΤΠΕ που αποφασίζει να υποβάλει προαιρετικό αίτημα για να οριστεί ως κρίσιμος θα πρέπει να παρέχει στην παραλαμβάνουσα Ευρωπαϊκή Εποπτική Αρχή (ΕΕΑ) όλες τις απαραίτητες πληροφορίες για να αποδείξει την κρισιμότητά του σύμφωνα με τις αρχές και τα κριτήρια που προβλέπονται στον κανονισμό (ΕΕ) 2022/2554. Γι’ αυτόν τον λόγο, οι πληροφορίες που πρέπει να περιλαμβάνονται στην αίτηση για προαιρετικό αίτημα θα πρέπει να είναι επαρκώς λεπτομερείς και πλήρεις ώστε να καθιστούν δυνατή τη σαφή και πλήρη αξιολόγηση της κρισιμότητας σύμφωνα με το άρθρο 31 παράγραφος 11 του εν λόγω κανονισμού. Η αρμόδια ΕΕΑ θα πρέπει να απορρίπτει κάθε ελλιπή αίτηση και να ζητεί τις πληροφορίες που λείπουν.

(3)

Η νομική ταυτοποίηση των τρίτων παρόχων υπηρεσιών ΤΠΕ που εμπίπτουν στο πεδίο εφαρμογής του παρόντος ρυθμιστικού τεχνικού προτύπου θα πρέπει να ευθυγραμμίζεται με τον αναγνωριστικό κωδικό που ορίζεται στον εκτελεστικό κανονισμό της Επιτροπής που εκδίδεται σύμφωνα με το άρθρο 28 παράγραφος 9 του κανονισμού (ΕΕ) 2022/2554.

(4)

Σε συνέχεια των συστάσεων που εκδίδει ο κύριος εποπτικός φορέας προς κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, ο κύριος εποπτικός φορέας θα πρέπει να παρακολουθεί τη συμμόρφωση των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ με τις συστάσεις. Προκειμένου να διασφαλιστεί η αποδοτική και αποτελεσματική παρακολούθηση των ενεργειών που υλοποίησαν ή των διορθωτικών μέτρων που έλαβαν οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ σε σχέση με τις εν λόγω συστάσεις, ο κύριος εποπτικός φορέας θα πρέπει να είναι σε θέση να ζητεί τις εκθέσεις που αναφέρονται στο άρθρο 35 παράγραφος 1 στοιχείο γ) του κανονισμού (ΕΕ) 2022/2554, οι οποίες θα πρέπει να λειτουργούν ως ενδιάμεσες εκθέσεις προόδου και τελικές εκθέσεις.

(5)

Για τους σκοπούς της αξιολόγησης που ορίζεται στο άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554, σύμφωνα με το οποίο ο κύριος εποπτικός φορέας υποχρεούται να αξιολογεί κατά πόσον επαρκεί η εξήγηση που παρέχει ο κρίσιμος τρίτος πάροχος ΤΠΕ, η ενημέρωση του κύριου εποπτικού φορέα από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ για την πρόθεσή του να ακολουθήσει τις ληφθείσες συστάσεις θα πρέπει να συμπληρώνεται με περιγραφή των ενεργειών και των μέτρων που έχουν ληφθεί για τον μετριασμό των κινδύνων που περιγράφονται στις συστάσεις, μαζί με τις αντίστοιχες προθεσμίες τους. Η εξήγηση αυτή θα πρέπει να έχει τη μορφή σχεδίου αποκατάστασης.

(6)

Δεδομένου ότι ο κύριος εποπτικός φορέας αναμένεται να αξιολογήσει τις ρυθμίσεις υπεργολαβίας του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, πρέπει να καταρτιστεί υπόδειγμα για την παροχή πληροφοριών σχετικά με τις εν λόγω ρυθμίσεις. Στο υπόδειγμα θα πρέπει να συνεκτιμάται το γεγονός ότι οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ έχουν διαφορετικές δομές από τις χρηματοοικονομικές οντότητες.

(7)

Μόλις εκδοθούν από τον κύριο εποπτικό φορέα οι συστάσεις προς κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και οι αρμόδιες αρχές ενημερώσουν τις σχετικές χρηματοοικονομικές οντότητες για τους κινδύνους που προσδιορίζονται στις εν λόγω συστάσεις, ο κύριος εποπτικός φορέας θα πρέπει να παρακολουθεί και να αξιολογεί την υλοποίηση από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ των ενεργειών και των διορθωτικών μέτρων για τη συμμόρφωση με τις συστάσεις. Οι αρμόδιες αρχές θα πρέπει να παρακολουθούν και να αξιολογούν τον βαθμό στον οποίο οι χρηματοπιστωτικές οντότητες εκτίθενται στους κινδύνους που προσδιορίζονται στις εν λόγω συστάσεις. Προκειμένου να διατηρηθούν ισότιμοι όροι ανταγωνισμού κατά την εκτέλεση των αντίστοιχων καθηκόντων τους, ιδίως όταν οι κίνδυνοι που προσδιορίζονται στις συστάσεις είναι σοβαροί και αφορούν μεγάλο αριθμό χρηματοπιστωτικών οντοτήτων σε πολλά κράτη μέλη, τόσο οι αρμόδιες αρχές όσο και ο κύριος εποπτικός φορέας θα πρέπει να ανταλλάσσουν μεταξύ τους τυχόν σχετικά ευρήματα που είναι απαραίτητα για την εκτέλεση των αντίστοιχων καθηκόντων τους. Στόχος της ανταλλαγής πληροφοριών είναι να διασφαλιστεί ότι η ανατροφοδότηση του κύριου εποπτικού φορέα προς τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ σχετικά με τις ενέργειες και τα διορθωτικά μέτρα που εφαρμόζει λαμβάνει υπόψη τον αντίκτυπο στους κινδύνους στους οποίους εκτίθενται οι χρηματοοικονομικές οντότητες και ότι στις εποπτικές δραστηριότητες που εκτελούνται από τις αρμόδιες αρχές συνεκτιμάται η αξιολόγηση που διενεργεί ο κύριος εποπτικός φορέας.

(8)

Για να καταστεί δυνατή η αποδοτική και αποτελεσματική ανταλλαγή πληροφοριών, οι αρμόδιες αρχές θα πρέπει να αξιολογούν, στο πλαίσιο των εποπτικών δραστηριοτήτων τους, τον βαθμό στον οποίο οι χρηματοοικονομικές οντότητες που εποπτεύουν είναι εκτεθειμένες στους κινδύνους που προσδιορίζονται στις συστάσεις. Η αξιολόγηση αυτή θα πρέπει να διενεργείται με αναλογικό τρόπο και βάσει κινδύνων. Ο κύριος εποπτικός φορέας θα πρέπει να ζητεί από τις αρμόδιες αρχές να κοινοποιούν τα αποτελέσματα της εν λόγω αξιολόγησης στις συγκεκριμένες περιπτώσεις, όταν οι κίνδυνοι που συνδέονται με τις συστάσεις είναι σοβαροί και αφορούν μεγάλο αριθμό χρηματοοικονομικών οντοτήτων σε πολλά κράτη μέλη. Για την καλύτερη δυνατή χρήση των πόρων των αρμόδιων αρχών, όταν ζητεί την παροχή των αποτελεσμάτων της εν λόγω αξιολόγησης, ο κύριος εποπτικός φορέας θα πρέπει πάντα να λαμβάνει υπόψη ότι στόχος των εν λόγω αιτημάτων είναι η αξιολόγηση της υλοποίησης των ενεργειών και των διορθωτικών μέτρων που έλαβαν οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ.

(9)	Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2), η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, ο οποίος γνωμοδότησε στις 22 Ιουλίου 2024.

(10)	Ο παρών κανονισμός βασίζεται στα σχέδια ρυθμιστικών τεχνικών προτύπων που υποβλήθηκαν στην Επιτροπή από τις ΕΕΑ.

(11)

Η μεικτή επιτροπή των ΕΕΑ διενήργησε ανοικτές δημόσιες διαβουλεύσεις σχετικά με τα σχέδια ρυθμιστικών τεχνικών προτύπων στα οποία βασίζεται ο παρών κανονισμός, ανέλυσε τα ενδεχόμενα συναφή κόστη και τις ωφέλειες και ζήτησε τις συμβουλές της ομάδας τραπεζικών συμφεροντούχων η οποία έχει συσταθεί σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1093/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3), της ομάδας συμφεροντούχων ασφαλίσεων και αντασφαλίσεων και της ομάδας συμφεροντούχων ταμείων επαγγελματικών συνταξιοδοτικών παροχών, οι οποίες έχουν συσταθεί σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1094/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4), και της ομάδας συμφεροντούχων κινητών αξιών και αγορών η οποία έχει συσταθεί σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1095/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5),

ΕΞΕΔΩΣΕ ΤΟΝ ΠΑΡΟΝΤΑ ΚΑΝΟΝΙΣΜΟ:

Άρθρο 1

Πληροφορίες που πρέπει να παρέχει ο τρίτος πάροχος υπηρεσιών ΤΠΕ στην αίτηση ορισμού του ως κρίσιμου

1. Ο τρίτος πάροχος υπηρεσιών τεχνολογιών των πληροφοριών και των επικοινωνιών (ΤΠΕ) υποβάλλει τις ακόλουθες πληροφορίες στην αιτιολογημένη αίτηση για προαιρετικό αίτημα, σύμφωνα με το άρθρο 31 παράγραφος 11 του κανονισμού (ΕΕ) 2022/2554, προκειμένου να οριστεί ως κρίσιμος σύμφωνα με το άρθρο 31 παράγραφος 1 στοιχείο α) του κανονισμού (ΕΕ) 2022/2554:

α)	επωνυμία του νομικού προσώπου·

β)	αναγνωριστικό κωδικό νομικής οντότητας·

γ)	ονοματεπώνυμο του υπεύθυνου επικοινωνίας και στοιχεία επικοινωνίας του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·

δ)	χώρα στην οποία έχει την έδρα της η νομική οντότητα·

ε)

περιγραφή της εταιρικής δομής που περιλαμβάνει τουλάχιστον πληροφορίες σχετικά με τη μητρική της εταιρεία και άλλες συνδεδεμένες επιχειρήσεις που παρέχουν υπηρεσίες ΤΠΕ σε χρηματοοικονομικές οντότητες της Ένωσης. Οι πληροφορίες αυτές περιλαμβάνουν, κατά περίπτωση:

i)	επωνυμία των νομικών προσώπων·

ii)	αναγνωριστικό κωδικό νομικής οντότητας·

iii)	χώρα στην οποία έχει την έδρα της η νομική οντότητα·

στ)

εκτίμηση του μεριδίου αγοράς του τρίτου παρόχου υπηρεσιών ΤΠΕ στον χρηματοοικονομικό τομέα της Ένωσης και εκτίμηση του μεριδίου αγοράς ανά είδος χρηματοοικονομικής οντότητας, όπως αναφέρονται στο άρθρο 2 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554, για το έτος υποβολής της αίτησης για τον ορισμό του ως κρίσιμου και το έτος πριν από την εν λόγω αίτηση·

ζ)

περιγραφή κάθε υπηρεσίας ΤΠΕ που παρέχεται σε χρηματοοικονομικές οντότητες της Ένωσης, η οποία περιλαμβάνει:

i)	περιγραφή της φύσης της επιχειρηματικής δραστηριότητας και του είδους των υπηρεσιών ΤΠΕ που παρέχονται σε χρηματοοικονομικές οντότητες·

ii)	κατάλογο των λειτουργιών των χρηματοοικονομικών οντοτήτων που υποστηρίζονται από τις παρεχόμενες υπηρεσίες ΤΠΕ, εφόσον είναι διαθέσιμες·

iii)	πληροφορίες σχετικά με το αν οι υπηρεσίες ΤΠΕ που παρέχονται σε χρηματοοικονομικές οντότητες υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, εφόσον είναι διαθέσιμες·

η)

κατάλογο των χρηματοοικονομικών οντοτήτων που χρησιμοποιούν τις υπηρεσίες ΤΠΕ που παρέχονται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ, μεταξύ άλλων τις ακόλουθες πληροφορίες για καθεμία από τις χρηματοοικονομικές οντότητες που εξυπηρετούνται, εφόσον είναι διαθέσιμες:

i)	επωνυμία του νομικού προσώπου·

ii)	τον αναγνωριστικό κωδικό νομικής οντότητας, εφόσον είναι γνωστός στον τρίτο πάροχο υπηρεσιών ΤΠΕ·

iii)	το είδος χρηματοοικονομικής οντότητας, όπως προσδιορίζεται στο άρθρο 2 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554·

iv)	τη γεωγραφική θέση από την οποία παρέχονται οι υπηρεσίες ΤΠΕ στη συγκεκριμένη νομική οντότητα·

θ)	κατάλογο των κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ που περιλαμβάνονται στον πιο πρόσφατο διαθέσιμο κατάλογο των εν λόγω παρόχων, ο οποίος δημοσιεύεται από τις ΕΕΑ σύμφωνα με το άρθρο 31 παράγραφος 9 του κανονισμού (ΕΕ) 2022/2554, και βασίζονται στις υπηρεσίες που παρέχει ο αιτών, κατά περίπτωση·

ι)

αυτοαξιολόγηση όσον αφορά τα ακόλουθα:

τη δυνατότητα υποκατάστασης κάθε υπηρεσίας ΤΠΕ που παρέχει ο αιτών λαμβάνοντας υπόψη τα ακόλουθα:

—	το μερίδιο αγοράς του τρίτου παρόχου υπηρεσιών ΤΠΕ στον χρηματοοικονομικό τομέα της Ένωσης·

—	τον αριθμό των γνωστών σχετικών ανταγωνιστών ανά είδος υπηρεσιών ΤΠΕ ή ομάδα υπηρεσιών ΤΠΕ·

—	περιγραφή των ιδιαιτεροτήτων που σχετίζονται με τις προσφερόμενες υπηρεσίες ΤΠΕ, μεταξύ άλλων σε σχέση με οποιαδήποτε αποκλειστική τεχνολογία, ή τα συγκεκριμένα χαρακτηριστικά της οργάνωσης ή της δραστηριότητας του τρίτου παρόχου υπηρεσιών ΤΠΕ·

ii)	γνώσεις σχετικά με τη διαθεσιμότητα των εναλλακτικών τρίτων παρόχων για την παροχή των ίδιων υπηρεσιών ΤΠΕ με αυτές του τρίτου παρόχου υπηρεσιών ΤΠΕ που υποβάλλει την αίτηση·

ια)	πληροφορίες σχετικά με μελλοντική επιχειρηματική στρατηγική σε σχέση με την παροχή υπηρεσιών και υποδομών ΤΠΕ σε χρηματοοικονομικές οντότητες της Ένωσης, συμπεριλαμβανομένων τυχόν προγραμματισμένων αλλαγών στον όμιλο ή στη δομή διαχείρισης, της εισόδου σε νέες αγορές ή δραστηριότητες·

ιβ)	ταυτοποίηση των υπεργολάβων του τρίτου παρόχου υπηρεσιών ΤΠΕ που έχουν οριστεί ως κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ·

ιγ)	τυχόν άλλους λόγους που σχετίζονται με την αίτηση του τρίτου παρόχου υπηρεσιών ΤΠΕ να οριστεί ως κρίσιμος.

2. Όταν ο τρίτος πάροχος υπηρεσιών ΤΠΕ ανήκει σε όμιλο, οι πληροφορίες που αναφέρονται στην παράγραφο 1 παρέχονται σε σχέση με τις υπηρεσίες ΤΠΕ που παρέχονται από τον όμιλο στο σύνολό του.

Άρθρο 2

Περιεχόμενο, δομή και μορφή των πληροφοριών που πρέπει να υποβάλλονται, να γνωστοποιούνται ή να αναφέρονται από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ

1. Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ παρέχουν στον κύριο εποπτικό φορέα, κατόπιν αιτήματός του, κάθε πληροφορία που είναι αναγκαία για να εκτελέσει ο κύριος εποπτικός φορέας τα εποπτικά του καθήκοντα σύμφωνα με τις απαιτήσεις του κανονισμού (ΕΕ) 2022/2554.

2. Οι πληροφορίες που αναφέρονται στην παράγραφο 1 περιλαμβάνουν, μεταξύ άλλων, τα εξής:

α)

πληροφορίες σχετικά με τις ρυθμίσεις, και αντίγραφα των συμβατικών εγγράφων, ανάμεσα:

i)	στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και στις χρηματοοικονομικές οντότητες που αναφέρονται στο άρθρο 2 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554·

ii)	στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και στους υπεργολάβους του με σκοπό την αποτύπωση της τεχνολογικής αλυσίδας αξίας των υπηρεσιών ΤΠΕ που παρέχονται στις χρηματοοικονομικές οντότητες στην Ένωση·

β)	πληροφορίες σχετικά με την οργανωτική δομή και τη δομή του ομίλου του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, συμπεριλαμβανομένου του προσδιορισμού όλων των οντοτήτων που ανήκουν στον ίδιο όμιλο και παρέχουν άμεσα ή έμμεσα υπηρεσίες ΤΠΕ σε χρηματοοικονομικές οντότητες στην Ένωση·

γ)

πληροφορίες σχετικά με τους κύριους μετόχους, συμπεριλαμβανομένης της δομής και της γεωγραφικής τους κατανομής, για οποιαδήποτε από τις ακόλουθες:

i)	οντότητες που κατέχουν, αποκλειστικά ή από κοινού με τις συνδεδεμένες οντότητές τους, το 25 % ή περισσότερο του κεφαλαίου ή των δικαιωμάτων ψήφου του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·

ii)	οντότητες που έχουν το δικαίωμα να διορίζουν ή να παύουν την πλειονότητα των μελών του διοικητικού, διαχειριστικού ή εποπτικού οργάνου του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·

iii)	οντότητες που ελέγχουν, βάσει συμφωνίας, την πλειοψηφία των δικαιωμάτων ψήφου των μετόχων ή των μελών του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·

δ)	πληροφορίες σχετικά με το μερίδιο αγοράς του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ ανά είδος υπηρεσιών, στις σχετικές αγορές όπου δραστηριοποιείται·

ε)	πληροφορίες σχετικά με τις ρυθμίσεις εσωτερικής διακυβέρνησης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, συμπεριλαμβανομένης της δομής με κανόνες για τα όρια αρμοδιότητας και λογοδοσίας για τη διακυβέρνηση·

στ)

τα πρακτικά των συνεδριάσεων του διοικητικού οργάνου του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και οποιωνδήποτε άλλων εσωτερικών σχετικών επιτροπών, τα οποία σχετίζονται καθ’ οιονδήποτε τρόπο με δραστηριότητες και κινδύνους που αφορούν υποστηρικτικές λειτουργίες υπηρεσιών τρίτων παρόχων ΤΠΕ των χρηματοπιστωτικών οντοτήτων εντός της Ένωσης·

ζ)

πληροφορίες σχετικά με την ασφάλεια ΤΠΕ του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, στις οποίες περιλαμβάνονται σχετικές στρατηγικές, στόχοι, πολιτικές, διαδικασίες, πρωτόκολλα, διεργασίες, μέτρα ελέγχου για την προστασία ευαίσθητων δεδομένων, έλεγχοι πρόσβασης, πρακτικές κρυπτογράφησης, σχέδια αντιμετώπισης συμβάντων και πληροφορίες σχετικά με τη συμμόρφωση με όλους τους σχετικούς κανονισμούς και τα εθνικά και διεθνή πρότυπα, κατά περίπτωση·

η)

πληροφορίες σχετικά με τεχνικά και οργανωτικά μέτρα για τη διασφάλιση της προστασίας και της εμπιστευτικότητας των δεδομένων, συμπεριλαμβανομένων των δεδομένων προσωπικού και μη προσωπικού χαρακτήρα, τα εφαρμοζόμενα μέτρα ελέγχου για την προστασία ευαίσθητων δεδομένων, την πρόσβαση, τους ελέγχους, τις πρακτικές κρυπτογράφησης, το σχέδιο αντιμετώπισης παραβάσεων δεδομένων· όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ο τρίτος πάροχος υπηρεσιών ΤΠΕ υπόκειται στη νομοθεσία τρίτων χωρών, συμπεριλαμβανομένων αιτημάτων πρόσβασης από κυβέρνηση τρίτης χώρας, του καταλόγου των χωρών και της εφαρμοστέας νομοθεσίας·

θ)	πληροφορίες σχετικά με τους μηχανισμούς που προσφέρει ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ στις χρηματοοικονομικές οντότητες της Ένωσης για τη φορητότητα των δεδομένων, τη φορητότητα των εφαρμογών και τη διαλειτουργικότητα·

ι)

πληροφορίες σχετικά με την τοποθεσία των κέντρων δεδομένων και των κέντρων παραγωγής ΤΠΕ που χρησιμοποιούνται για τους σκοπούς της παροχής υπηρεσιών στις χρηματοοικονομικές οντότητες, συμπεριλαμβανομένου καταλόγου όλων των σχετικών χώρων και εγκαταστάσεων του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, μεταξύ άλλων και εκτός της Ένωσης·

ια)

πληροφορίες σχετικά με την παροχή υπηρεσιών από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ από τρίτες χώρες, συμπεριλαμβανομένων πληροφοριών για τις σχετικές νομικές διατάξεις που εφαρμόζονται στα δεδομένα προσωπικού και μη προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία από τον τρίτο πάροχο υπηρεσιών ΤΠΕ·

ιβ)	πληροφορίες σχετικά με τα μέτρα που λαμβάνονται για την αντιμετώπιση κινδύνων που απορρέουν από την παροχή υπηρεσιών ΤΠΕ από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και τους υπεργολάβους του από τρίτες χώρες·

ιγ)

πληροφορίες σχετικά με το πλαίσιο διαχείρισης κινδύνων και το πλαίσιο διαχείρισης συμβάντων, στις οποίες περιλαμβάνονται πολιτικές, διαδικασίες, εργαλεία, μηχανισμοί και ρυθμίσεις διακυβέρνησης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και των υπεργολάβων του, συμπεριλαμβανομένου καταλόγου και περιγραφής μειζόνων συμβάντων με άμεσο ή έμμεσο αντίκτυπο στις χρηματοοικονομικές οντότητες εντός της Ένωσης, μεταξύ άλλων σχετικές λεπτομέρειες για τον προσδιορισμό της σημασίας του συμβάντος για τις χρηματοοικονομικές οντότητες και την αξιολόγηση πιθανών διασυνοριακών επιπτώσεων·

ιδ)	πληροφορίες σχετικά με το πλαίσιο διαχείρισης αλλαγών, συμπεριλαμβανομένων των πολιτικών, διαδικασιών και ελέγχων του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και των υπεργολάβων του·

ιε)

πληροφορίες σχετικά με το συνολικό πλαίσιο αντιμετώπισης και ανάκαμψης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, στις οποίες περιλαμβάνονται τα σχέδια επιχειρησιακής συνέχειας και οι σχετικές ρυθμίσεις και διαδικασίες, η πολιτική για τη διάρκεια ανάπτυξης λογισμικού, τα σχέδια αντιμετώπισης και ανάκαμψης και οι σχετικές ρυθμίσεις και διαδικασίες, οι πολιτικές και διαδικασίες δημιουργίας εφεδρικών συστημάτων·

ιστ)

πληροφορίες σχετικά με την παρακολούθηση των επιδόσεων, την παρακολούθηση της ασφάλειας και την παρακολούθηση συμβάντων, καθώς και πληροφορίες σχετικά με τους μηχανισμούς αναφοράς που σχετίζονται με τις επιδόσεις των υπηρεσιών, τα συμβάντα και τη συμμόρφωση με συνομολογημένες συμφωνίες επιπέδου εξυπηρέτησης και στόχους επιπέδου εξυπηρέτησης ή παρόμοιες ρυθμίσεις μεταξύ κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ και χρηματοοικονομικών οντοτήτων στην Ένωση·

ιζ)

πληροφορίες σχετικά με το πλαίσιο διαχείρισης τρίτων παρόχων υπηρεσιών ΤΠΕ που διαθέτει ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ, στις οποίες περιλαμβάνονται στρατηγικές, πολιτικές, διαδικασίες, διεργασίες και έλεγχοι, συμπεριλαμβανομένων λεπτομερειών σχετικά με τη δέουσα επιμέλεια και την αξιολόγηση κινδύνων που διενεργήθηκε από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ σε σχέση με τους υπεργολάβους του πριν από τη σύναψη συμφωνίας μαζί τους, και για την παρακολούθηση της σχέσης που καλύπτει όλους τους σχετικούς κινδύνους ΤΠΕ και αντισυμβαλλομένου·

ιη)

αποσπάσματα από τα συστήματα παρακολούθησης και σάρωσης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και των υπεργολάβων του, τα οποία καλύπτουν, μεταξύ άλλων, την παρακολούθηση δικτύου, την παρακολούθηση διακομιστών, την παρακολούθηση εφαρμογών, την παρακολούθηση της ασφάλειας, τη σάρωση τρωτών σημείων, τη διαχείριση αρχείων καταγραφής, την παρακολούθηση επιδόσεων, τη διαχείριση συμβάντων και τις μετρήσεις έναντι στόχων αξιοπιστίας, όπως οι στόχοι επιπέδου εξυπηρέτησης·

ιθ)	αποσπάσματα από οποιοδήποτε σύστημα ή εφαρμογή παραγωγής, προπαραγωγής και δοκιμής που χρησιμοποιείται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ και τους υπεργολάβους του για την άμεση ή έμμεση παροχή υπηρεσιών σε χρηματοοικονομικές οντότητες στην Ένωση·

κ)

εκθέσεις συμμόρφωσης και διαθέσιμες εκθέσεις ελέγχου, καθώς και τυχόν σχετικά πορίσματα του ελέγχου, συμπεριλαμβανομένων των ελέγχων που διενεργούνται από εθνικές αρχές στην Ένωση και εκτός της Ένωσης, όταν οι συμφωνίες συνεργασίας με τις αρμόδιες αρχές προβλέπουν την εν λόγω ανταλλαγή πληροφοριών, ή πιστοποιήσεις που επιτυγχάνονται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ ή τους υπεργολάβους του, συμπεριλαμβανομένων εκθέσεων από εσωτερικούς και εξωτερικούς ελεγκτές, πιστοποιήσεων ή αξιολογήσεων συμμόρφωσης με ειδικά ανά κλάδο πρότυπα. Περιλαμβάνονται πληροφορίες σχετικά με κάθε είδος διαθέσιμων ανεξάρτητων δοκιμών της ανθεκτικότητας των συστημάτων ΤΠΕ του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, συμπεριλαμβανομένου κάθε είδους δοκιμών παρείσδυσης βάσει απειλών που διενεργούνται από τον τρίτο πάροχο υπηρεσιών ΤΠΕ·

κα)	πληροφορίες σχετικά με τυχόν αξιολογήσεις που διενεργούνται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ κατόπιν αιτήματός του ή για λογαριασμό του, για να αξιολογηθούν η καταλληλότητα και η ακεραιότητα των ατόμων που κατέχουν βασικές θέσεις εντός του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ·

κβ)	πληροφορίες σχετικά με κάθε σχέδιο αποκατάστασης για την υλοποίηση των συστάσεων σύμφωνα με το άρθρο 3 και σχετικές πληροφορίες για την επιβεβαίωση της εφαρμογής διορθωτικών μέτρων·

κγ)

πληροφορίες σχετικά με διαθέσιμα προγράμματα κατάρτισης των εργαζομένων και προγράμματα ευαισθητοποίησης σε θέματα ασφάλειας, συμπεριλαμβανομένων, κατά περίπτωση, πληροφοριών σχετικά με τις επενδύσεις, τους πόρους και τις μεθόδους του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ για την κατάρτιση του προσωπικού του όσον αφορά τον χειρισμό ευαίσθητων χρηματοοικονομικών δεδομένων και τη διατήρηση υψηλών επιπέδων ασφάλειας·

κδ)	πληροφορίες σχετικά με τις δραστηριότητες του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και οικονομικές καταστάσεις, συμπεριλαμβανομένων πληροφοριών σχετικά με τον προϋπολογισμό και τους πόρους που σχετίζονται με τις ΤΠΕ και την ασφάλεια.

Άρθρο 3

Πληροφορίες από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ μετά την έκδοση συστάσεων

1. Ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ υποβάλλει στον κύριο εποπτικό φορέα έκθεση που περιέχει σχέδιο αποκατάστασης σε σχέση με τις συστάσεις και τα διορθωτικά μέτρα που σχεδιάζει να εφαρμόσει ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ προκειμένου να μετριάσει τους κινδύνους που προσδιορίζονται στις συστάσεις που αναφέρονται στο άρθρο 35 παράγραφος 1 στοιχείο δ) του κανονισμού (ΕΕ) 2022/2254. Η έκθεση συνάδει με το χρονοδιάγραμμα που ορίζει ο κύριος εποπτικός φορέας για κάθε σύσταση.

2. Για να καταστεί δυνατή η παρακολούθηση της υλοποίησης των ενεργειών που έχουν αναληφθεί ή των διορθωτικών μέτρων που έχουν εφαρμοστεί από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ σε σχέση με τις ληφθείσες συστάσεις, ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ κοινοποιεί στον κύριο εποπτικό φορέα, κατόπιν αιτήματος:

α)

ενδιάμεσες εκθέσεις προόδου και σχετικά δικαιολογητικά έγγραφα στα οποία προσδιορίζεται η πρόοδος της υλοποίησης των ενεργειών και των μέτρων που καθορίζονται στην έκθεση που υποβάλλει ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ στον κύριο εποπτικό φορέα εντός του χρονοδιαγράμματος που ορίζει ο κύριος εποπτικός φορέας·

β)	τελικές εκθέσεις και σχετικά δικαιολογητικά έγγραφα στα οποία προσδιορίζονται οι ενέργειες που έχουν αναληφθεί ή τα διορθωτικά μέτρα που έχουν εφαρμοστεί από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ για τον μετριασμό των κινδύνων που προσδιορίζονται στις ληφθείσες συστάσεις.

Άρθρο 4

Δομή και μορφή των πληροφοριών που παρέχονται από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ

1. Ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ παρέχει τις ζητούμενες πληροφορίες στον κύριο εποπτικό φορέα μέσω των ειδικών ασφαλών ηλεκτρονικών διαύλων που υποδεικνύει ο κύριος εποπτικός φορέας στο αίτημά του και στη μορφή που καθορίζει ο κύριος εποπτικός φορέας.

2. Κατά την παροχή πληροφοριών στον κύριο εποπτικό φορέα, οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ:

α)	ακολουθούν τη δομή που υποδεικνύει ο κύριος εποπτικός φορέας στο οικείο αίτημα παροχής πληροφοριών·

β)	εντοπίζουν με σαφήνεια τις σχετικές πληροφορίες στην υποβληθείσα τεκμηρίωση.

3. Οι πληροφορίες που υποβάλλονται, γνωστοποιούνται ή αναφέρονται στον κύριο εποπτικό φορέα από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ συντάσσονται σε γλώσσα ευρέως διαδεδομένη στον διεθνή χρηματοοικονομικό τομέα.

Άρθρο 5

Υπόδειγμα για την παροχή πληροφοριών σχετικά με τις ρυθμίσεις υπεργολαβίας

Ένας κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ που υποχρεούται να ανταλλάσσει πληροφορίες σχετικά με τις ρυθμίσεις υπεργολαβίας παρέχει τις πληροφορίες στον κύριο εποπτικό φορέα σύμφωνα με το υπόδειγμα που προβλέπεται στο παράρτημα.

Άρθρο 6

Αξιολόγηση των αρμόδιων αρχών όσον αφορά τους κινδύνους που εξετάζονται στις συστάσεις του κύριου εποπτικού φορέα

1. Στο πλαίσιο της εποπτείας των χρηματοοικονομικών οντοτήτων, η αρμόδια αρχή αξιολογεί τον αντίκτυπο που έχουν στις χρηματοοικονομικές οντότητες τα μέτρα που έλαβε ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ με βάση τις συστάσεις του κύριου εποπτικού φορέα σύμφωνα με την αρχή της αναλογικότητας.

2. Στο πλαίσιο της αξιολόγησης που αναφέρεται στην παράγραφο 1, η αρμόδια αρχή λαμβάνει υπόψη όλα τα ακόλουθα:

α)	την επάρκεια και τη συνοχή των διορθωτικών μέτρων και των μέτρων αποκατάστασης που λαμβάνουν οι χρηματοοικονομικές οντότητες για τον μετριασμό των κινδύνων που προσδιορίζονται στις συστάσεις·

β)

την αξιολόγηση από τον κύριο εποπτικό φορέα της συμμόρφωσης του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ με τα μέτρα και τις ενέργειες που περιλαμβάνονται στην έκθεση, όταν έχει επιπτώσεις στην έκθεση των χρηματοοικονομικών οντοτήτων υπό τη δικαιοδοσία του στους κινδύνους που προσδιορίζονται στις συστάσεις·

γ)	την άποψη τυχόν άλλων αρμόδιων αρχών των οποίων ζητήθηκε η γνώμη σύμφωνα με το άρθρο 42 παράγραφος 5 του κανονισμού (ΕΕ) 2022/2554·

δ)	αν ο κύριος εποπτικός φορέας έχει θεωρήσει ότι οι ενέργειες και τα διορθωτικά μέτρα που εφαρμόζει ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ είναι επαρκή για τον μετριασμό της έκθεσης των χρηματοοικονομικών οντοτήτων υπό τη δικαιοδοσία του στους κινδύνους που προσδιορίζονται στις συστάσεις.

3. Κατόπιν αιτήματος του κύριου εποπτικού φορέα, η αρμόδια αρχή παρέχει σε εύλογο χρονικό διάστημα τα αποτελέσματα της αξιολόγησης που προβλέπεται στην παράγραφο 1. Όταν ζητεί τα αποτελέσματα της εν λόγω αξιολόγησης, ο κύριος εποπτικός φορέας λαμβάνει υπόψη την αρχή της αναλογικότητας και το μέγεθος των κινδύνων που συνδέονται με τις συστάσεις, συμπεριλαμβανομένων των διασυνοριακών επιπτώσεων των εν λόγω κινδύνων όταν επηρεάζονται χρηματοοικονομικές οντότητες που δραστηριοποιούνται σε περισσότερα από ένα κράτη μέλη.

4. Η αρμόδια αρχή ζητεί, κατά περίπτωση, από τις χρηματοοικονομικές οντότητες να παράσχουν κάθε αναγκαία πληροφορία για τη διενέργεια της αξιολόγησης που αναφέρεται στην παράγραφο 1.

Άρθρο 7

Έναρξη ισχύος

Ο παρών κανονισμός αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

Ο παρών κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.

Βρυξέλλες, 24 Οκτωβρίου 2024.

Για την Επιτροπή

Η Πρόεδρος

Ursula VON DER LEYEN

(1) ΕΕ L 333 της 27.12.2022, σ. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj.

(2) Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ L 295 της 21.11.2018, σ. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(3) Κανονισμός (ΕΕ) αριθ. 1093/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Νοεμβρίου 2010, σχετικά με τη σύσταση Ευρωπαϊκής Εποπτικής Αρχής (Ευρωπαϊκή Αρχή Τραπεζών), την τροποποίηση της απόφασης αριθ. 716/2009/ΕΚ και την κατάργηση της απόφασης 2009/78/ΕΚ της Επιτροπής (ΕΕ L 331 της 15.12.2010, σ. 12, ELI: http://data.europa.eu/eli/reg/2010/1093/oj).

(4) Κανονισμός (ΕΕ) αριθ. 1094/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Νοεμβρίου 2010, για τη σύσταση Ευρωπαϊκής Εποπτικής Αρχής (Ευρωπαϊκή Αρχή Ασφαλίσεων και Επαγγελματικών Συντάξεων), την τροποποίηση της απόφασης αριθ. 716/2009/ΕΚ και την κατάργηση της απόφασης 2009/79/ΕΚ της Επιτροπής (ΕΕ L 331 της 15.12.2010, σ. 48, ELI: http://data.europa.eu/eli/reg/2010/1094/oj).

(5) Κανονισμός (ΕΕ) αριθ. 1095/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Νοεμβρίου 2010, σχετικά με τη σύσταση Ευρωπαϊκής Εποπτικής Αρχής (Ευρωπαϊκή Αρχή Κινητών Αξιών και Αγορών), την τροποποίηση της απόφασης αριθ. 716/2009/ΕΚ και την κατάργηση της απόφασης 2009/77/ΕΚ (ΕΕ L 331 της 15.12.2010, σ. 84, ELI: http://data.europa.eu/eli/reg/2010/1095/oj).

ΠΑΡΑΡΤΗΜΑ

ΥΠΌΔΕΙΓΜΑ ΓΙΑ ΤΗΝ ΑΝΤΑΛΛΑΓΉ ΠΛΗΡΟΦΟΡΙΏΝ ΣΧΕΤΙΚΆ ΜΕ ΤΙς ΡΥΘΜΊΣΕΙς ΥΠΕΡΓΟΛΑΒΊΑς

Κατηγορία πληροφοριών

Βασικά πληροφοριακά στοιχεία

Γενικές πληροφορίες

—	Επωνυμία του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ.

—	Αναγνωριστικός κωδικός του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ.

—	Ονοματεπώνυμο του υπεύθυνου επικοινωνίας και στοιχεία επικοινωνίας του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ.

—	Ημερομηνία υποβολής του υποδείγματος.

Επισκόπηση των ρυθμίσεων υπεργολαβίας

—	Χαρτογράφηση των ρυθμίσεων υπεργολαβίας, συμπεριλαμβανομένης σύντομης περιγραφής του σκοπού και του πεδίου εφαρμογής των σχέσεων υπεργολαβίας (συμπεριλαμβανομένης ένδειξης του επιπέδου κρισιμότητας ή της σημασίας των ρυθμίσεων υπεργολαβίας για τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ).

—	Προσδιορισμός και περιγραφή των ειδών των υπηρεσιών ΤΠΕ που ανατίθενται υπεργολαβικά και της σημασίας τους για τις υπηρεσίες ΤΠΕ που παρέχονται σε χρηματοοικονομικές οντότητες, σύμφωνα με τα εκτελεστικά τεχνικά πρότυπα που εκδίδονται δυνάμει του άρθρου 28 παράγραφος 9 του κανονισμού (ΕΕ) 2022/2554.

—	Κατά τον προσδιορισμό των ειδών των υπηρεσιών ΤΠΕ, ανατρέξτε στον κατάλογο του παραρτήματος IV των εκτελεστικών τεχνικών προτύπων που εκδόθηκαν σύμφωνα με το άρθρο 28 παράγραφος 9 του κανονισμού (ΕΕ) 2022/2554.

Στοιχεία υπεργολάβων

—	Επωνυμία και στοιχεία νομικής οντότητας (συμπεριλαμβανομένου του αναγνωριστικού κωδικού) για κάθε υπεργολάβο.

—	Στοιχεία επικοινωνίας των μελών του προσωπικού που είναι υπεύθυνα για καθεμία από τις σχέσεις υπεργολαβίας στη δομή διαχείρισης του κρίσιμου τρίτου παρόχου ΤΠΕ.

—	Επισκόπηση, για κάθε υπεργολάβο, της εμπειρογνωσίας, της πείρας και των προσόντων που σχετίζονται με τις υπηρεσίες ΤΠΕ που αποτελούν αντικείμενο ανάθεσης.

Περιγραφή των υπηρεσιών που παρέχονται από υπεργολάβους

—	Λεπτομερής περιγραφή των συγκεκριμένων υπηρεσιών ΤΠΕ που παρέχονται από κάθε υπεργολάβο.

—	Ανάλυση των αρμοδιοτήτων και των καθηκόντων που ανατίθενται στους υπεργολάβους με λεπτομερή περιγραφή των διαφόρων ρόλων στα διάφορα στάδια των διαδικασιών ΤΠΕ.

—	Πληροφορίες σχετικά με το επίπεδο πρόσβασης που έχουν οι υπεργολάβοι σε προσωπικού χαρακτήρα ή άλλως ευαίσθητα δεδομένα ή συστήματα σχετικά με τις υπηρεσίες ΤΠΕ που παρέχονται σε χρηματοοικονομικές οντότητες.

—	Πληροφορίες σχετικά με τις εγκαταστάσεις από τις οποίες παρέχονται οι υπηρεσίες των υπεργολάβων και σχετικά με τα μέτρα που λαμβάνονται για την αντιμετώπιση των κινδύνων που απορρέουν από υπηρεσίες που παρέχονται εκτός της Ένωσης.

Διακυβέρνηση και εποπτεία υπεργολαβιών

—	Περιγραφή του συμβατικού πλαισίου και του πλαισίου διακυβέρνησης που εφαρμόζεται για τη διαχείριση των σχέσεων υπεργολαβίας, συμπεριλαμβανομένων ρητρών που περιορίζουν τη χρήση ευαίσθητων δεδομένων.

—	Επεξήγηση των διαδικασιών επιλογής, πρόσληψης και παρακολούθησης υπεργολάβων.

—	Επισκόπηση των δεικτών μέτρησης επιδόσεων, των στόχων και των συμφωνιών για το επίπεδο εξυπηρέτησης, καθώς και των βασικών δεικτών επιδόσεων που χρησιμοποιούνται για την αξιολόγηση των επιδόσεων και την παρακολούθηση της αξιοπιστίας των υπεργολάβων.

Διαχείριση κινδύνων και συμμόρφωση

—	Αξιολόγηση των προφίλ κινδύνου του υπεργολάβου και των πιθανών επιπτώσεων στις υπηρεσίες ΤΠΕ που παρέχονται σε χρηματοοικονομικές οντότητες.

—	Επεξήγηση των μέτρων άμβλυνσης του κινδύνου που εφαρμόζονται για την αντιμετώπιση κινδύνων που σχετίζονται με την υπεργολαβία.

—	Λεπτομέρειες σχετικά με τη συμμόρφωση του υπεργολάβου με τους σχετικούς κανονισμούς, μεταξύ άλλων όσον αφορά την προστασία των δεδομένων και τα κλαδικά πρότυπα.

Επιχειρησιακή συνέχεια και σχεδιασμός αντιμετώπισης έκτακτων αναγκών

—	Επισκόπηση των σχεδίων του υπεργολάβου στους τομείς της επιχειρησιακής συνέχειας, αντιμετώπισης και ανάκαμψης.

—	Περιγραφή των ρυθμίσεων που εφαρμόζονται για τη διασφάλιση της συνέχειας των υπηρεσιών σε περίπτωση διαταραχών ή καταγγελίας από τον υπεργολάβο.

—	Συχνότητα των δοκιμών των σχεδίων επιχειρησιακής συνέχειας και των σχεδίων αντιμετώπισης και ανάκαμψης από τους υπεργολάβους, ημερομηνίες των πιο πρόσφατων δοκιμών κατά τα τελευταία 3 έτη και προσδιορισμός του αν ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ έχει συμμετάσχει στις εν λόγω δοκιμές.

Υποβολή αναφορών

—	Περιγραφή των μηχανισμών αναφοράς και της συχνότητας της υποβολής αναφορών μεταξύ του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ και των υπεργολάβων του.

Αποκατάσταση και διαχείριση συμβάντων

—	Περιγραφή των διαδικασιών για την αντιμετώπιση συμβάντων, παραβιάσεων ή μη συμμόρφωσης σε σχέση με υπεργολάβους.

Πιστοποιήσεις και έλεγχοι

—	Πληροφορίες σχετικά με τυχόν πιστοποιήσεις, ανεξάρτητους ελέγχους ή αξιολογήσεις που διενεργούνται για υπεργολάβους με σκοπό την επικύρωση των οικείων ελέγχων ασφαλείας και προτύπων ποιότητας ή της κανονιστικής συμμόρφωσής τους.

—	Ημερομηνία και συχνότητα των ελέγχων των υπεργολάβων που διενεργήθηκαν από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.