a)

naam van de rechtspersoon;

b)

identificatiecode van de rechtspersoon;

c)

naam van de contactpersoon en contactgegevens van de kritieke derde aanbieder van ICT-diensten;

d)

land van de maatschappelijke zetel van de rechtspersoon;

e)

beschrijving van de structuur van de onderneming, met ten minste informatie over de moedermaatschappij en andere verwante ondernemingen die ICT-diensten verlenen aan financiële entiteiten in de Unie. In voorkomend geval omvat deze informatie:

f)

een raming van het marktaandeel van de derde aanbieder van ICT-diensten in de financiële sector van de Unie en een raming van het marktaandeel per soort financiële entiteit als bedoeld in artikel 2, lid 1, van Verordening (EU) 2022/2554, voor het jaar van indiening van het verzoek om te worden aangewezen als cruciaal, en voor het jaar vóór indiening van dat verzoek;

g)

een beschrijving van elke ICT-dienst die wordt verleend aan financiële entiteiten in de Unie, met inbegrip van:

h)

een lijst van financiële entiteiten die gebruikmaken van ICT-diensten van de derde aanbieder van ICT-diensten, met inbegrip van de volgende informatie voor elk van de bediende financiële entiteiten, indien beschikbaar:

i)

een lijst met de kritieke derde aanbieders van ICT-diensten die zijn opgenomen in de meest recente beschikbare lijst van dergelijke aanbieders die overeenkomstig artikel 31, lid 9, van Verordening (EU) 2022/2554 door de ETA’s wordt gepubliceerd;

j)

een zelfbeoordeling met betrekking tot de volgende aspecten:

k)

informatie over een toekomstige bedrijfsstrategie met betrekking tot de verlening van ICT-diensten en -infrastructuur aan financiële entiteiten in de Unie, met inbegrip van eventuele geplande wijzigingen in de groeps- of beheerstructuur, de betreding van nieuwe markten of de ontwikkeling van nieuwe activiteiten;

l)

vermelding van de subcontractanten van de derde aanbieder van ICT-diensten die zijn aangewezen als kritieke derde aanbieders van ICT-diensten;

m)

andere aspecten die van belang zijn voor het verzoek van de derde aanbieder van ICT-diensten om te worden aangewezen als cruciaal.

a)

informatie over de regelingen, en kopieën van contractuele documenten, tussen:

b)

informatie over de organisatie- en groepsstructuur van de kritieke derde aanbieder van ICT-diensten, met vermelding van alle entiteiten die tot dezelfde groep behoren en die direct of indirect ICT-diensten verlenen aan financiële entiteiten in de Unie;

c)

informatie over de belangrijkste aandeelhouders, met inbegrip van hun structuur en geografische distributie, voor alle onderstaande entiteiten:

d)

informatie over het marktaandeel van de kritieke derde aanbieder van ICT-diensten per soort dienst, in de relevante markten waar deze actief is;

e)

informatie over de interne governanceregelingen van de kritieke derde aanbieder van ICT-diensten, met inbegrip van de structuur met regels inzake taakverdeling en verantwoording;

f)

de notulen van vergaderingen van het leidinggevend orgaan en andere interne relevante comités die op enigerlei wijze betrekking hebben op activiteiten en risico’s betreffende ICT-diensten van derden die functies van financiële entiteiten in de Unie ondersteunen;

g)

informatie over de ICT-beveiliging van de kritieke derde aanbieder van ICT-diensten, met inbegrip van relevant(e) strategieën, doelstellingen, beleid, procedures, protocollen, processen, controlemaatregelen om gevoelige gegevens te beschermen, toegangscontroles, versleutelingspraktijken, incidentresponsplannen en, in voorkomend geval, informatie over de naleving van alle relevante voorschriften en nationale en internationale normen;

h)

informatie over technische en organisatorische maatregelen om de bescherming en vertrouwelijkheid van gegevens, met inbegrip van persoonsgegevens en niet-persoonsgebonden gegevens, te waarborgen en over ingevoerde controlemaatregelen om gevoelige gegevens te beschermen, toegangscontroles, versleutelingspraktijken en een responsplan voor datalekken; indien de derde aanbieder van ICT-diensten met betrekking tot de verwerking van persoonsgegevens is onderworpen aan wetten van derde landen, met inbegrip van toegangsverzoeken van overheden van derde landen, een lijst met landen en de toepasselijke wetgeving;

i)

informatie over de mechanismen die de kritieke derde aanbieder van ICT-diensten financiële entiteiten in de Unie aanbiedt voor de overdracht van gegevens en applicaties en interoperabiliteit;

j)

informatie over de locatie van de datacenters en ICT-productiecentra die worden gebruikt om diensten te verlenen aan financiële entiteiten, met inbegrip van een lijst van alle relevante bedrijfsruimten en voorzieningen van de kritieke derde aanbieder van ICT-diensten, ook die buiten de Unie;

k)

informatie over de verlening van diensten door de kritieke derde aanbieder van ICT-diensten vanuit derde landen, met inbegrip van informatie over relevante wettelijke bepalingen inzake persoonsgegevens en niet-persoonsgebonden gegevens die door de aanbieder van ICT-diensten worden verwerkt;

(l)

informatie over de genomen maatregelen om risico’s te adresseren die voortvloeien uit de verlening van ICT-diensten vanuit derde landen door de kritieke derde aanbieder van ICT-diensten en diens subcontractanten;

m)

informatie over het kader voor risicobeheer en het kader voor incidentbeheer, met inbegrip van beleid, procedures, hulpmiddelen, mechanismen en governanceregelingen van de kritieke derde aanbieder van ICT-diensten en van diens subcontractanten, met inbegrip van een lijst en beschrijving van belangrijke incidenten met directe of indirecte gevolgen voor financiële entiteiten in de Unie, inclusief nadere informatie op basis waarvan de significantie van het incident voor financiële entiteiten kan worden bepaald en eventuele grensoverschrijdende gevolgen kunnen worden beoordeeld;

n)

informatie over het kader voor veranderingsbeheer, met inbegrip van beleid, procedures en controles, van de kritieke derde aanbieder van ICT-diensten en diens subcontractanten;

o)

informatie over het algehele respons- en herstelkader van de kritieke derde aanbieder van ICT-diensten, met inbegrip van bedrijfscontinuïteitsplannen en verwante regelingen en procedures, levenscyclusbeleid met betrekking tot softwareontwikkeling, respons- en herstelplannen en verwante regelingen en procedures, en beleid, regelingen en procedures inzake back-ups;

p)

informatie over prestatiebewaking, beveiligingsbewaking en het volgen van incidenten, alsmede informatie over rapportagemechanismen met betrekking tot de prestaties van diensten, incidenten en naleving van overeengekomen dienstenniveauovereenkomsten (SLA’s) en doelstellingen inzake dienstverleningsniveau, of vergelijkbare regelingen tussen kritieke derde aanbieders van ICT-diensten en financiële entiteiten in de Unie;

q)

informatie over het voor ICT-derden opgezette beheerskader van de kritieke derde aanbieder van ICT-diensten, met inbegrip van strategieën, beleid, procedures, processen en controles, inclusief nadere informatie over de vooronderzoeken en risicobeoordelingen die de kritieke derde aanbieder van ICT-diensten ten aanzien van diens subcontractanten uitvoert voordat een overeenkomst met hen wordt aangegaan, teneinde de relatie te bewaken voor alle relevante ICT-risico’s en met de wederpartij samenhangende risico’s;

r)

uittreksels uit de bewakings- en scansystemen van de kritieke derde aanbieder van ICT-diensten en diens subcontractanten, onder meer — maar niet uitsluitend — met betrekking tot netwerk-, server-, applicatie- en beveiligingsbewaking, kwetsbaarheidsscans, beheer van logboeken, prestatiebewaking, incidentbeheer en toetsingen aan betrouwbaarheidsdoelstellingen, zoals doelstellingen inzake dienstverleningsniveau;

s)

uittreksels uit productie-, preproductie- en testsystemen of -applicaties die de kritieke derde aanbieder van ICT-diensten en diens subcontractanten gebruiken om direct of indirect diensten te verlenen aan financiële entiteiten in de Unie;

t)

conformiteits- en beschikbare auditverslagen, evenals relevante auditbevindingen, met inbegrip van audits die zijn uitgevoerd door nationale autoriteiten in de Unie en buiten de Unie, indien samenwerkingsovereenkomsten met de desbetreffende autoriteiten voorzien in een dergelijke informatie-uitwisseling, of certificeringen die zijn verkregen door de kritieke derde aanbieder van ICT-diensten of diens subcontractanten, met inbegrip van verslagen van interne en externe auditoren, certificeringen, of toetsingen op de conformiteit met branchespecifieke normen. Daaronder valt ook informatie over elk type beschikbare onafhankelijke tests van de weerbaarheid van de ICT-systemen van de kritieke derde aanbieder van ICT-diensten, met inbegrip van elk type op bedreigingen gebaseerde penetratietests die de derde aanbieder van ICT-diensten heeft uitgevoerd;

u)

informatie over door de kritieke derde aanbieder van ICT-diensten op diens verzoek of in diens naam verrichte beoordelingen van de geschiktheid en integriteit van personen die sleutelposities binnen de kritieke derde aanbieder van ICT-diensten bekleden;

v)

informatie over correctieplannen naar aanleiding van aanbevelingen uit hoofde van artikel 3 en relevante verwante informatie waaruit blijkt dat corrigerende maatregelen zijn getroffen;

w)

informatie over voor het personeel beschikbare opleidingsprogramma’s en bewustmakingsprogramma’s op het gebied van beveiliging, waaronder, waar relevant, informatie over investeringen, middelen en methoden van de kritieke derde aanbieder van ICT-diensten met betrekking tot de opleiding van diens personeel in de behandeling van gevoelige financiële gegevens en in de wijze waarop de beveiliging op een hoog peil kan worden gehouden;

x)

informatie over de activiteiten van de kritieke derde aanbieder van ICT-diensten en financiële overzichten, met inbegrip van informatie over de begroting en middelen voor ICT en beveiliging.

a)

tussentijdse voortgangsverslagen en verwante ondersteunende documenten over de vorderingen bij de uitvoering van de acties en maatregelen die zijn vermeld in het verslag dat de kritieke derde aanbieder van ICT-diensten binnen de door de lead overseer gestelde tijdlijn aan de lead overseer heeft verstrekt;

b)

eindverslagen en verwante ondersteunende documentatie over de actie die de kritieke derde aanbieder van ICT-diensten heeft ondernomen en de corrigerende maatregelen die deze heeft getroffen om de in de ontvangen aanbevelingen geconstateerde risico’s te beperken.

a)

de structuur volgen die de lead overseer heeft aangegeven in diens verzoek om informatie;

b)

duidelijk aangeven waar de relevante informatie-elementen in de ingediende documentatie te vinden zijn.

a)

de toereikendheid van en samenhang tussen de corrigerende maatregelen van de financiële entiteiten om de in de aanbevelingen geconstateerde risico’s te beperken;

b)

de beoordeling door de lead overseer van de naleving, door de kritieke derde aanbieder van ICT-diensten, van de maatregelen en acties die zijn vermeld in het verslag, wanneer deze beoordeling gevolgen heeft voor de blootstelling van de onder haar bevoegdheid vallende financiële entiteiten aan de in de aanbevelingen geconstateerde risico’s;

c)

de standpunten van andere bevoegde autoriteiten die zijn geraadpleegd in overeenstemming met artikel 42, lid 5, van Verordening (EU) 2022/2554;

d)

de vraag of de lead overseer de acties en corrigerende maatregelen van de kritieke derde aanbieder van ICT-diensten toereikend acht om de blootstelling van de onder haar bevoegdheid vallende financiële entiteiten aan de in de aanbeveling geconstateerde risico’s te beperken.