Kommissionens delegerade förordning (EU) 2025/295 av den 24 oktober 2024 om komplettering av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller tekniska tillsynsstandarder som möjliggör genomförandet av tillsynsverksamhet

a)

Den juridiska personens namn.

b)

Identifieringskod för juridiska personer (LEI-kod).

c)

Namn på kontaktperson och kontaktuppgifter för den kritiska tredjepartsleverantören av IKT-tjänster.

d)

Land där den juridiska personen har sitt säte.

e)

Beskrivning av företagsstruktur med uppgift om åtminstone moderföretag och andra närstående företag som tillhandahåller IKT-tjänster till finansiella entiteter i EU. Denna information ska i tillämpliga fall omfatta följande:

f)

Beräknad marknadsandel för tredjelandsleverantören av IKT-tjänster i unionens finanssektor och beräknad marknadsandel per typ av finansiell entitet som anges i artikel 2.1 i förordning (EU) 2022/2554 det år ansökan om att bli klassificerad som kritisk lämnas in och året före denna ansökan.

g)

Beskrivning av varje IKT-tjänst som tillhandahålls finansiella entiteter i unionen, inbegripet

h)

Om tillgänglig, en förteckning över finansiella entiteter som använder de IKT-tjänster som tillhandahålls av tredjepartsleverantören av IKT-tjänster, inbegripet följande information för var och en av dessa finansiella entiteter:

i)

Om tillgänglig, en förteckning över de kritiska tredjepartsleverantörer av IKT-tjänster som ingår i den senaste förteckning över sådana leverantörer som de europeiska tillsynsmyndigheterna har offentliggjort i enlighet med artikel 31.9 i förordning (EU) 2022/2554 och som är beroende av de tjänster som tillhandahålls av sökanden.

j)

En självbedömning av följande:

k)

Information om en framtida affärsstrategi för tillhandahållandet av IKT-tjänster och infrastruktur för finansiella entiteter i unionen, inbegripet eventuella planerade förändringar i koncern- eller ledningsstrukturen och inträde på nya marknader eller upptagande av ny verksamhet.

l)

Identifiering av de underleverantörer till den tredjepartsleverantör av IKT-tjänster som har klassificerats som kritiska tredjepartsleverantörer av IKT-tjänster.

m)

Andra skäl som är relevanta för att tredjepartsleverantören av IKT-tjänster ska bli klassificerad som kritisk.

a)

Information om avtal och kopior av avtalshandlingar mellan

b)

Information om organisations- och koncernstruktur hos den kritiska tredjepartsleverantören av IKT-tjänster, inbegripet identifiering av alla enheter som tillhör samma koncern och som direkt eller indirekt tillhandahåller IKT-tjänster till finansiella entiteter i unionen.

c)

Information om de största aktieägarna, inbegripet deras struktur och geografiska spridning, om de

d)

Information om den marknadsandel som den kritiska tredjepartsleverantören av IKT-tjänster har per typ av tjänst på de relevanta marknader där den är verksam.

e)

Information om interna styrformer hos den kritiska tredjepartsleverantören av IKT-tjänster, inbegripet regler för ansvar och ansvarsskyldighet.

f)

Mötesprotokoll från ledningsorganet för den kritiska tredjepartsleverantören av IKT-tjänster och andra relevanta interna kommittéer som på något sätt behandlar verksamhet och risker avseende tredjepartsleverantörers IKT-tjänster som stöder funktioner hos finansiella entiteter inom unionen.

g)

Information om IKT-säkerheten hos den kritiska tredjepartsleverantören av IKT-tjänster, inbegripet relevanta strategier, mål, riktlinjer, förfaranden, protokoll, processer, kontrollåtgärder för att skydda känsliga uppgifter, åtkomstkontroller, krypteringsmetoder, incidenthanteringsplaner och information om efterlevnad av alla relevanta bestämmelser och i förekommande fall nationella och internationella standarder.

h)

Information om tekniska och organisatoriska åtgärder för att säkerställa dataskydd och datasekretess för bland annat personuppgifter och andra uppgifter än personuppgifter, om genomförda kontrollåtgärder för att skydda känsliga uppgifter, om åtkomst, kontroller av krypteringsmetoder och plan för hantering av dataintrång, samt – när tredjepartsleverantören av IKT-tjänster i fråga om behandling av personuppgifter omfattas av lagstiftning i tredjeländer, inbegripet att tredjeländers myndigheter begär åtkomst – en förteckning över dessa länder och tillämplig lagstiftning.

i)

Information om de mekanismer som den kritiska tredjepartsleverantören av IKT-tjänster erbjuder finansiella entiteter i unionen för dataportabilitet, tillämpningsportabilitet och interoperabilitet.

j)

Information om lokalisering av datacenter och IKT-produktionscenter som används för att tillhandahålla tjänster till de finansiella entiteterna, inbegripet en förteckning över alla relevanta lokaler och anläggningar som tillhör den kritiska tredjepartsleverantören av IKT-tjänster, även utanför unionen.

k)

Information i fall där den kritiska tredjepartsleverantören av IKT-tjänster tillhandahåller tjänster från tredjeländer, inbegripet information om relevanta rättsliga bestämmelser som är tillämpliga på personuppgifter och andra uppgifter än personuppgifter som behandlas av tredjepartsleverantören av IKT-tjänster.

l)

Information om åtgärder som vidtagits för att hantera risker som uppstår till följd av att den kritiska tredjepartsleverantören av IKT-tjänster och dess underleverantörer från tredjeländer tillhandahåller IKT-tjänster.

m)

Information om riskhanteringsram och ram för incidenthantering, inbegripet riktlinjer, förfaranden, verktyg, mekanismer och styrformer för den kritiska tredjepartsleverantören av IKT-tjänster och dess underleverantörer, en förteckning över och en beskrivning av allvarliga incidenter med direkt eller indirekt inverkan på finansiella entiteter inom unionen, samt relevanta uppgifter för att fastställa incidentens betydelse för finansiella entiteter och bedöma eventuella gränsöverskridande konsekvenser.

n)

Information om ram för förändringshantering, inbegripet riktlinjer, förfaranden och kontroller för den kritiska tredjepartsleverantören av IKT-tjänster och dess underleverantörer.

o)

Information om övergripande åtgärds- och återställningsram hos den kritiska tredjepartsleverantören av IKT-tjänster, inbegripet kontinuitetsplaner och arrangemang och förfaranden i samband med dessa, policy för programvaruutvecklingens livscykel, åtgärds- och återställningsplaner och arrangemang och förfaranden i samband med dessa samt strategier och förfaranden för säkerhetskopiering.

p)

Information om prestandaövervakning, säkerhetsövervakning och incidentspårning samt information om rapporteringsmekanismer när det gäller tjänstekvalitet, incidenter och efterlevnad av överenskomna servicenivåavtal och servicenivåmål eller liknande arrangemang mellan kritiska tredjepartsleverantörer av IKT-tjänster och finansiella entiteter i unionen.

q)

Information om ram för tredjepartsförvaltning av IKT-tjänster hos den kritiska tredjepartsleverantören av IKT-tjänster, inbegripet strategier, riktlinjer, förfaranden, processer och kontroller, inbegripet uppgifter om den due diligence-granskning och riskbedömning som den kritiska tredjepartsleverantören av IKT-tjänster gör av underleverantörer innan den ingår ett avtal med dem och för att övervaka avtalsförhållandet, vilka ska beakta alla relevanta IKT-risker och motpartsrisker.

r)

Utdrag från övervaknings- och skanningssystem hos den kritiska tredjepartsleverantören av IKT-tjänster och dess underleverantörer som omfattar, men inte är begränsade till, nätverksövervakning, serverövervakning, applikationsövervakning, säkerhetsövervakning, sårbarhetsanalyser, logghantering, prestandaövervakning, incidenthantering och mätningar mot mål avseende tillförlitlighet, till exempel servicenivåmål.

s)

Utdrag från produktions-, förproduktions- och testsystem eller applikationer som den kritiska tredjepartsleverantören av IKT-tjänster och dess underleverantörer använder för att direkt eller indirekt tillhandahålla tjänster till finansiella entiteter i unionen.

t)

Regelefterlevnadsrapporter och tillgängliga revisionsrapporter, samt alla relevanta revisionsiakttagelser, inbegripet revisioner som utförs av nationella myndigheter i och utanför unionen om samarbetsavtal med de relevanta myndigheterna föreskriver ett sådant informationsutbyte, eller certifieringar av den kritiska tredjepartsleverantören av IKT-tjänster eller dess underleverantörer, inbegripet rapporter från interna och externa revisorer, certifieringar eller bedömningar av överensstämmelse med branschspecifika standarder. Detta omfattar information om alla typer av tillgängliga oberoende tester av motståndskraften hos IKT-systemen hos den kritiska tredjepartsleverantören av IKT-tjänster, inbegripet alla typer av hotbildsstyrd penetrationstestning som utförs av tredjepartsleverantören av IKT-tjänster.

u)

Information om eventuella bedömningar som utförts av den kritiska tredjepartsleverantören av IKT-tjänster på dess begäran eller för dess räkning gällande lämpligheten och integriteten hos personer som innehar nyckelpositioner hos den kritiska tredjepartsleverantören av IKT-tjänster.

v)

Information om eventuell åtgärdsplan för att följa rekommendationer i enlighet med artikel 3 och relevant relaterad information för att bekräfta att avhjälpande åtgärder har genomförts.

w)

Information om tillgängliga utbildningsprogram för anställda och program för säkerhetsmedvetenhet, inbegripet, i förekommande fall, information om investeringar, resurser och metoder hos den kritiska tredjepartsleverantören av IKT-tjänster för att utbilda personalen i hantering av känsliga finansiella uppgifter och upprätthållande av en hög säkerhetsnivå.

x)

Information om den verksamhet som bedrivs av den kritiska tredjepartsleverantören av IKT-tjänster och finansiella rapporter, inbegripet information om budget och resurser som rör IKT och säkerhet.

a)

Lägesrapporter tillsammans med styrkande dokumentation som anger vilka framsteg som gjorts i genomförandet av de insatser och åtgärder som beskrivs i den rapport som den kritiska tredjepartsleverantören av IKT-produkter har lämnat till den ledande tillsynsmyndigheten inom den av denna myndighet fastställda tidsfristen.

b)

Slutrapporter tillsammans med styrkande dokumentation som anger vilka åtgärder eller avhjälpande åtgärder som har genomförts av den kritiska tredjepartsleverantören av IKT-tjänster för att minska de risker som identifieras i de mottagna rekommendationerna.

a)

följa den struktur som den ledande tillsynsmyndigheten anger i sin begäran om information,

b)

tydligt ange var i den inlämnade dokumentationen man hittar den relevanta informationen.

a)

Om de korrigerande och avhjälpande åtgärder som finansiella entiteter genomfört för att minska de risker som identifieras i rekommendationerna är tillräckliga och konsekventa.

b)

Den ledande tillsynsmyndighetens bedömning av om den kritiska tredjepartsleverantören av IKT-tjänster har rättat sig efter de åtgärder och insatser som ingår i rapporten i fall där detta påverkar exponeringen för de risker som identifieras i rekommendationerna för finansiella entiteter inom deras ansvarsområde.

c)

Synpunkter från andra behöriga myndigheter till följd av samråd i enlighet med artikel 42.5 i förordning (EU) 2022/2554.

d)

Om den ledande tillsynsmyndigheten har ansett att de åtgärder och avhjälpande åtgärder som vidtagits av den kritiska tredjepartsleverantören av IKT-tjänster är tillräckliga för att minska exponeringen för de risker som identifieras i rekommendationerna för finansiella entiteter inom deras ansvarsområde.