a)

Nome da entidade jurídica;

b)

Código de identificação da entidade jurídica;

c)

Nome da pessoa de contacto e dados de contacto do terceiro prestador de serviços de TIC crítico;

d)

País em que se situa a sede social da entidade jurídica;

e)

Descrição da estrutura empresarial, incluindo, pelo menos, informações sobre a sua empresa-mãe e outras empresas coligadas que prestam serviços de TIC a entidades financeiras da União. Essas informações devem incluir, se for caso disso:

f)

Uma estimativa da quota de mercado do terceiro prestador de serviços de TIC no setor financeiro da União e uma estimativa da quota de mercado por tipo de entidade financeira, com base na lista constante do artigo 2.o, n.o 1, do Regulamento (UE) 2022/2554, no ano de apresentação do pedido de designação como crítico e no ano anterior a esse pedido;

g)

Uma descrição de cada serviço de TIC prestado a entidades financeiras da União, incluindo:

h)

Uma lista das entidades financeiras que utilizam os serviços de TIC prestados pelo terceiro prestador de serviços de TIC, incluindo, quando disponíveis, as seguintes informações para cada uma das entidades financeiras às quais são prestados serviços:

i)

Quando disponível, uma lista dos terceiros prestadores de serviços de TIC críticos incluídos na mais recente lista disponível desses prestadores de serviços publicada pelas AES, nos termos do artigo 31.o, n.o 9, do Regulamento (UE) 2022/2554, e que dependem dos serviços prestados pelo requerente;

j)

Uma autoavaliação no que diz respeito ao seguinte:

k)

Informações sobre a futura estratégia empresarial no que diz respeito à prestação de serviços e à disponibilização de infraestruturas de TIC a entidades financeiras na União, incluindo eventuais alterações previstas na estrutura do grupo ou da gestão, a entrada em novos mercados ou o exercício de novas atividades;

l)

Identificação dos subcontratantes do terceiro prestador de serviços de TIC que tenham sido designados como terceiros prestadores de serviços de TIC críticos;

m)

Quaisquer outros motivos pertinentes para o pedido do terceiro prestador de serviços de TIC para ser designado como crítico.

a)

Informações sobre os acordos, e cópias dos documentos contratuais, entre:

b)

Informações sobre a estrutura organizativa e do grupo do terceiro prestador de serviços de TIC crítico, incluindo a identificação de todas as entidades pertencentes ao mesmo grupo que prestam direta ou indiretamente serviços de TIC a entidades financeiras na União;

c)

Informações sobre os principais acionistas, incluindo a sua estrutura e distribuição geográfica, de qualquer uma das seguintes entidades:

d)

Informações sobre a quota de mercado do terceiro prestador de serviços de TIC crítico, por tipo de serviços, nos mercados pertinentes em que opera;

e)

Informações sobre os mecanismos de governação interna do terceiro prestador de serviços de TIC crítico, incluindo a cadeia de responsabilidade em matéria de governação e as regras de responsabilização;

f)

as atas das reuniões do órgão de administração do terceiro prestador de serviços de TIC crítico e de quaisquer outros comités internos pertinentes, de algum modo relacionados com as atividades e os riscos ligados aos serviços no domínio das TIC prestados por terceiros que apoiam funções de entidades financeiras na União;

g)

Informações sobre a segurança das TIC do terceiro prestador de serviços de TIC crítico, incluindo estratégias pertinentes, objetivos, políticas, procedimentos, protocolos, processos, medidas de controlo para proteger dados sensíveis, controlos de acesso, práticas de encriptação, planos de resposta a incidentes e informações sobre o cumprimento de todos os regulamentos pertinentes e das normas nacionais e internacionais, se for caso disso;

h)

Informações sobre as medidas técnicas e organizativas para assegurar a proteção e a confidencialidade dos dados, incluindo dados pessoais e não pessoais, as medidas de controlo aplicadas para proteger os dados sensíveis, os controlos de acesso, as práticas de encriptação e o plano de resposta a violações de dados; sempre que, no que diz respeito ao tratamento de dados pessoais, o terceiro prestador de serviços de TIC esteja sujeito à legislação de países terceiros, incluindo a pedidos de acesso de governos de países terceiros, a lista dos países e da legislação aplicável.

i)

Informações sobre os mecanismos que o terceiro prestador de serviços de TIC crítico disponibiliza às entidades financeiras da União para fins de portabilidade dos dados, portabilidade das aplicações e interoperabilidade;

j)

Informações sobre a localização dos centros de dados e dos centros de produção de TIC utilizados para prestar serviços às entidades financeiras, incluindo uma lista de todas as instalações e edifícios pertinentes do terceiro prestador de serviços de TIC crítico, designadamente fora da União;

k)

Informações sobre a prestação de serviços por terceiros prestadores de serviços de TIC críticos de países terceiros, incluindo informações sobre as disposições jurídicas pertinentes aplicáveis aos dados pessoais e não pessoais tratados por tais terceiros prestadores de serviços;

l)

Informações sobre as medidas tomadas para fazer face aos riscos decorrentes da prestação de serviços de TIC pelo terceiro prestador de serviços de TIC crítico e pelos seus subcontratantes de países terceiros;

m)

Informações sobre o quadro de gestão do risco e o quadro de gestão de incidentes, incluindo as políticas, procedimentos, instrumentos, mecanismos e disposições de governação do terceiro prestador de serviços de TIC crítico e dos seus subcontratantes, uma lista e uma descrição dos incidentes graves com impacto direto ou indireto nas entidades financeiras da União e pormenores pertinentes para determinar a importância do incidente para as entidades financeiras e para avaliar os possíveis impactos transfronteiriços;

n)

Informações sobre o quadro de gestão de alterações, incluindo as políticas, procedimentos e controlos do terceiro prestador de serviços de TIC crítico e dos seus subcontratantes;

o)

Informações sobre o quadro global de resposta e recuperação do terceiro prestador de serviços de TIC crítico, incluindo os planos de continuidade das atividades e os mecanismos e procedimentos conexos, a política relativa ao ciclo de vida do desenvolvimento de programas informáticos, os planos de resposta e recuperação e os mecanismos e procedimentos conexos e as políticas, mecanismos e procedimentos de salvaguarda;

p)

Informações sobre a monitorização do desempenho, a monitorização da segurança e o rastreio de incidentes, bem como informações sobre os mecanismos de comunicação relacionados com o desempenho dos serviços, os incidentes e o cumprimento dos acordos de nível de serviço (ANS) e dos objetivos de nível de serviço (ONS) estabelecidos ou de acordos semelhantes entre terceiros prestadores de serviços de TIC críticos e entidades financeiras na União;

q)

Informações sobre o quadro do terceiro prestador de serviços de TIC crítico em matéria de gestão de terceiros no domínio das TIC, incluindo estratégias, políticas, procedimentos, processos e controlos, bem como pormenores sobre o dever de diligência e a avaliação dos riscos que o terceiro prestador de serviços de TIC crítico executa relativamente aos seus subcontratantes antes de celebrar um acordo com os mesmos e para monitorizar a relação, abrangendo todos os riscos pertinentes de contraparte e no domínio das TIC;

r)

Excertos dos sistemas de monitorização e análise do terceiro prestador de serviços de TIC crítico e dos seus subcontratantes, que abranjam, entre outras coisas, a monitorização da rede, a monitorização dos servidores, a monitorização das aplicações, a monitorização da segurança, a análise da vulnerabilidade, a gestão de registos, a monitorização do desempenho, a gestão de incidentes e medições com base em objetivos de fiabilidade, como os ONS;

s)

Excertos de qualquer sistema ou aplicação de produção, pré-produção e testagem utilizado pelo terceiro prestador de serviços de TIC crítico e pelos seus subcontratantes para prestar, direta ou indiretamente, serviços a entidades financeiras na União;

t)

Relatórios de conformidade e relatórios de auditoria disponíveis, bem como quaisquer constatações de auditoria pertinentes, incluindo auditorias realizadas por autoridades nacionais na União e fora dela, sempre que os acordos de cooperação com as autoridades competentes prevejam esse intercâmbio de informações, ou certificações obtidas pelo terceiro prestador de serviços de TIC crítico ou pelos seus subcontratantes, incluindo relatórios de auditores internos e externos, certificações ou avaliações da conformidade que apliquem normas específicas do setor. Tal inclui informações sobre qualquer tipo de testes independentes disponíveis da resiliência dos sistemas de TIC do terceiro prestador de serviços de TIC crítico, incluindo qualquer tipo de testes de penetração baseados em ameaças realizados pelo terceiro prestador de serviços de TIC;

u)

Informações sobre quaisquer avaliações efetuadas pelo prestador de serviços por terceiros prestadores de serviços de TIC críticos de países terceiros a seu pedido ou em seu nome em relação à adequação e integridade dos indivíduos que detêm posições-chave no terceiro prestador de serviços de TIC críticos;

v)

Informações sobre qualquer plano corretivo para dar resposta a recomendações nos termos do artigo 3.o, e informações conexas pertinentes para confirmar a aplicação de medidas corretivas;

w)

informações sobre os regimes de formação dos trabalhadores e os programas de sensibilização para a segurança disponíveis, incluindo, se for caso disso, informações sobre investimentos, recursos e métodos do terceiro prestador de serviços de TIC crítico na formação do seu pessoal para tratar dados financeiros sensíveis e manter elevados níveis de segurança;

x)

Informações sobre as atividades do terceiro prestador de serviços de TIC crítico e demonstrações financeiras, incluindo informações sobre o orçamento e os recursos relacionados com as TIC e a segurança.

a)

Relatórios intercalares e documentos de apoio conexos que indiquem os progressos realizados na execução das ações e medidas estabelecidas no relatório que o terceiro prestador de serviços de TIC críticos apresentou à autoridade fiscalizadora principal, dentro do prazo definido por esta;

b)

Relatórios finais e documentos de apoio conexos que indiquem as ações empreendidas ou as medidas corretivas aplicadas pelo terceiro prestador de serviços de TIC crítico a fim de atenuar os riscos identificados nas recomendações recebidas.

a)

Seguem a estrutura indicada pela autoridade fiscalizadora principal no seu pedido de informações;

b)

Identificam claramente o elemento de informação pertinente na documentação apresentada.

a)

a adequação e a coerência das medidas corretivas aplicadas pelas entidades financeiras para atenuar os riscos identificados nas recomendações,

b)

a avaliação, pela autoridade fiscalizadora principal, da conformidade do terceiro prestador de serviços de TIC crítico com as medidas e ações incluídas no relatório, caso tenha impacto na exposição das entidades financeiras sob a sua alçada aos riscos identificados nas recomendações;

c)

o parecer de quaisquer outras autoridades competentes que tenham sido consultadas em conformidade com o artigo 42.o, n.o 5, do Regulamento (UE) 2022/2554,

d)

se a autoridade fiscalizadora principal considerou que as ações e as medidas corretivas aplicadas pelo terceiro prestador de serviços de TIC crítico são adequadas para atenuar a exposição das entidades financeiras sob a sua alçada aos riscos identificados nas recomendações.