(a)

naziv pravnog subjekta;

(b)

identifikacijsku oznaku pravnog subjekta;

(c)

ime osobe za kontakt i podaci za kontakt ključne treće strane pružatelja IKT usluga;

(d)

zemlju u kojoj pravni subjekt ima registrirano sjedište;

(e)

opis korporativne strukture, što uključuje barem informacije o njegovu matičnom društvu i drugim povezanim društvima koja pružaju IKT usluge financijskim subjektima u Uniji. Te informacije prema potrebi obuhvaćaju:

(f)

procjenu tržišnog udjela treće strane pružatelja IKT usluga u financijskom sektoru Unije i procjenu tržišnog udjela po vrsti financijskog subjekta iz članka 2. stavka 1. Uredbe (EU) 2022/2554 u godini podnošenja zahtjeva da je se imenuje kao ključnu i godini prije podnošenja tog zahtjeva;

(g)

opis svake IKT usluge koja se pruža financijskim subjektima u Uniji, među ostalim:

(h)

popis financijskih subjekata koji koriste IKT usluge koje pruža treća strana pružatelj IKT usluga, uključujući sljedeće informacije za svaki financijski subjekt kojem se pruža usluga, ako su dostupne:

(i)

popis ključnih trećih strana pružatelja IKT usluga uvrštenih na najnoviji dostupni popis takvih pružatelja koji su u skladu s člankom 31. stavkom 9. Uredbe (EU) 2022/2554 objavila europska nadzorna tijela koja se oslanjaju na usluge koje pruža podnositelj zahtjeva, ako je dostupan;

(j)

samoprocjenu u pogledu sljedećeg:

(k)

informacije o budućoj poslovnoj strategiji u pogledu pružanja IKT usluga i infrastrukture financijskim subjektima u Uniji, uključujući sve planirane promjene u strukturi grupe ili uprave, ulazak na nova tržišta ili nove aktivnosti;

(l)

podatke o podugovarateljima treće strane pružatelja IKT usluga koji su imenovani ključnim trećim stranama pružateljima IKT usluga;

(m)

sve druge razloge relevantne za zahtjev treće strane pružatelja IKT usluga da je se imenuje kao ključnu.

(a)

informacije o aranžmanima i preslike ugovornih dokumenata između:

(b)

informacije o organizacijskoj strukturi i strukturi grupe ključne treće strane pružatelja IKT usluga, uključujući identifikaciju svih subjekata koji pripadaju istoj grupi, koja izravno ili neizravno pruža IKT usluge financijskim subjektima u Uniji;

(c)

informacije o glavnim dioničarima, uključujući njihovu strukturu i zemljopisnu raširenost, bilo kojeg od sljedećeg:

(d)

informacije o tržišnom udjelu ključne treće strane pružatelja IKT usluga prema vrsti usluga na relevantnim tržištima na kojima posluje;

(e)

informacije o mehanizmima unutarnjeg upravljanja ključne treće strane pružatelja IKT usluga, uključujući strukturu s linijama upravljačke odgovornosti i pravilima o odgovornosti;

(f)

zapisnike sa sastanaka upravljačkog tijela ključne treće strane pružatelje IKT usluga i svih drugih internih relevantnih odbora, koji se na bilo koji način odnose na aktivnosti i rizike povezane s IKT uslugama trećih strana kojima se podupiru funkcije financijskih subjekata u Uniji;

(g)

informacije o sigurnosti IKT-a ključne treće strane pružatelja IKT usluga, uključujući relevantne strategije, ciljeve, politike, postupke, protokole, procese, kontrolne mjere za zaštitu osjetljivih podataka, kontrole pristupa, prakse šifriranja, planove odgovora na incidente i informacije o usklađenosti sa svim relevantnim propisima te, prema potrebi, nacionalnim i međunarodnim normama;

(h)

informacije o tehničkim i organizacijskim mjerama za osiguravanje zaštite i povjerljivosti podataka, uključujući osobne i neosobne podatke, provedenim kontrolnim mjerama za zaštitu osjetljivih podataka, kontrolama pristupa, praksama šifriranja i planu za odgovor na povredu podataka; kad je riječ o obradi osobnih podataka, treća strana pružatelj IKT usluga podliježe zakonima trećih zemalja, uključujući zahtjev vlada trećih zemalja za pristup, popis zemalja i primjenjive zakone;

(i)

informacije o mehanizmima za prenosivost podataka, prenosivost aplikacija i interoperabilnost koje ključna treća strana pružatelj IKT usluga nudi financijskim subjektima u Uniji;

(j)

informacije o lokaciji podatkovnih centara i proizvodnih centara za IKT koji se upotrebljavaju za potrebe pružanja usluga financijskim subjektima, uključujući popis svih relevantnih poslovnih prostora i objekata ključne treće strane pružatelja IKT usluga, među ostalim izvan Unije;

(k)

informacije o pružanju usluga ključne treće strane pružatelja IKT usluga iz trećih zemalja, uključujući informacije o relevantnim pravnim odredbama koje se primjenjuju na osobne i neosobne podatke koje obrađuje ta treća strana pružatelj IKT usluga;

(l)

informacije o mjerama poduzetima za nošenje s rizicima koji proizlaze iz pružanja IKT usluga ključne treće strane pružatelja IKT usluga i njezinih podugovaratelja iz trećih zemalja;

(m)

informacije o okviru za upravljanje rizicima i okviru za upravljanje incidentima, koje obuhvaćaju politike, postupke, alate, mehanizme i aranžmane upravljanja ključne treće strane pružatelja IKT usluga i njezinih podugovaratelja, među ostalim popis i opis značajnih incidenata s izravnim ili neizravnim učinkom na financijske subjekte u Uniji, te relevantne pojedinosti za utvrđivanje važnosti incidenta za financijske subjekte i procjenu mogućih prekograničnih učinaka;

(n)

informacije o okviru za upravljanje promjenama, koje uključuju politike, postupke i kontrole ključne treće strane pružatelja IKT usluga i njezinih podugovaratelja;

(o)

informacije o općem okviru za odgovor i oporavak ključne treće strane pružatelja IKT usluga, uključujući planove kontinuiteta poslovanja i povezane aranžmane i postupke, politiku životnog ciklusa razvoja softvera, planove odgovora i oporavka i povezane aranžmane i postupke te aranžmane i postupke za izradu sigurnosnih kopija;

(p)

informacije o praćenju uspješnosti, sigurnosti i incidenata te informacije o mehanizmima izvješćivanja o uspješnosti usluga, incidentima i usklađenosti s dogovorenim sporazumima o razini usluga i ciljevima u pogledu razine usluga ili sličnim aranžmanima između ključnih trećih strana pružatelja IKT usluga i financijskih subjekata u Uniji;

(q)

informacije o okviru upravljanja trećim stranama pružateljima IKT usluga ključne treće strane pružatelja IKT usluga, uključujući strategije, politike, postupke, procese i kontrole te pojedinosti o dubinskoj analizi i procjeni rizika koju ključna treća strana pružatelj IKT usluga provodi nad svojim podugovarateljima prije sklapanja sporazuma s njima te radi praćenja tog odnosa što obuhvaća sve relevantne IKT rizike i rizike druge ugovorne strane;

(r)

izvatke iz sustava za praćenje i skeniranje ključne treće strane pružatelja IKT usluga i njezinih podugovaratelja, koji obuhvaćaju, ali nisu ograničeni na: praćenje mreže, praćenje poslužitelja, praćenje aplikacija, praćenje sigurnosti, skeniranje ranjivosti, upravljanje zapisima, praćenje uspješnosti, upravljanje incidentima i mjerenja u odnosu na ciljeve pouzdanosti, kao što su ciljevi u pogledu razine usluga;

(s)

izvatke iz bilo kojeg produkcijskog, pretprodukcijskog i ispitnog sustava ili aplikacije koje ključna treća strana pružatelj IKT usluga i njezini podugovaratelji upotrebljavaju za izravno ili neizravno pružanje usluga financijskim subjektima u Uniji;

(t)

izvješća o usklađenosti i dostupna revizijska izvješća, kao i sve relevantne nalaze revizija, uključujući revizije koje provode nacionalna tijela u Uniji i izvan nje ako je sporazumima o suradnji s relevantnim tijelima predviđena takva razmjena informacija, ili certifikate koje je ishodila ključna treća strana pružatelj IKT usluga ili njezini podugovaratelji, uključujući izvješća unutarnjih i vanjskih revizora, certifikate ili ocjene usklađenosti s industrijskim normama. To uključuje informacije o svim vrstama dostupnih neovisnih testiranja otpornosti IKT sustava ključne treće strane pružatelja IKT usluga, uključujući sve vrste penetracijskog testiranja vođenog prijetnjama koje provodi treća strana pružatelj IKT usluga;

(u)

informacije o svim procjenama koje je ključna treća strana pružatelj IKT usluga provela na njegov zahtjev ili u njegovo ime kojima se ocjenjuje prikladnost i integritet pojedinaca na ključnim položajima u ključnoj trećoj strani pružatelju IKT usluga;

(v)

informacije o svim planovima za ispravljanje nedostataka namijenjenima provedbi preporuka u skladu s člankom 3. i relevantne povezane informacije kojima se potvrđuje provedba korektivnih mjera;

(w)

informacije o dostupnim programima osposobljavanja zaposlenika i programima informiranja o sigurnosti, uključujući, prema potrebi, informacije o ulaganjima, resursima i metodama ključne treće strane pružatelja IKT usluga u osposobljavanju njegova osoblja za postupanje s osjetljivim financijskim podacima i održavanje visoke razine sigurnosti;

(x)

informacije o aktivnostima ključne treće strane pružatelja IKT usluga i financijskim izvještajima, uključujući informacije o proračunu i sredstvima povezanima s IKT-om i sigurnošću.

(a)

privremena izvješća o napretku i pripadajuće popratne dokumente u kojima se opisuje napredak u poduzimanju djelovanja i provedbi mjera utvrđenih u izvješću koje je ključna treća strana pružatelj IKT usluga dostavila glavnom nadzornom tijelu u roku koji je ono utvrdilo;

(b)

završna izvješća i pripadajuće popratne dokumente u kojima se opisuju djelovanja koja je ključna treća strana pružatelj IKT usluga poduzela ili korektivne mjere koje je provela kako bi ublažila rizike utvrđene u primljenim preporukama.

(a)

pratiti strukturu koju je glavno nadzorno tijelo navelo u zahtjevu za informacije;

(b)

jasno locirati relevantne informacije u podnesenoj dokumentaciji.

(a)

primjerenost i usklađenost korektivnih mjera koje su financijski subjekti proveli kako bi ublažili rizike utvrđene u preporukama;

(b)

ocjenu glavnog nadzornog tijela o postupanju ključne treće strane pružatelja IKT usluga u skladu s mjerama i djelovanjima obuhvaćenima izvješćem ako to utječe na izloženost financijskih subjekata u njezinoj nadležnosti rizicima koji su utvrđeni u preporukama;

(c)

stajališta svih drugih nadležnih tijela s kojima je provedeno savjetovanje u skladu s člankom 42. stavkom 5. Uredbe (EU) 2022/2554;

(d)

činjenicu smatra li glavno nadzorno tijelo da su djelovanja i korektivne mjere koje je provela ključna treća strana pružatelj IKT usluga primjerene za ublažavanje izloženosti financijskih subjekata u njezinoj nadležnosti rizicima koji su utvrđeni u preporukama.