a)

nom de la personne morale;

b)

code d’identification de l’entité juridique;

c)

nom de la personne de contact et coordonnées du prestataire tiers critique de services TIC;

d)

pays dans lequel l’entité juridique a son siège statutaire;

e)

description de la structure d’entreprise comprenant au moins des informations sur sa société mère et sur les autres entreprises liées fournissant des services TIC à des entités financières de l’Union. Ces informations comprennent, le cas échéant:

f)

une estimation de la part de marché du prestataire tiers de services TIC dans le secteur financier de l’Union et une estimation de la part de marché par type d’entité financière visée à l’article 2, paragraphe 1, du règlement (UE) 2022/2554 à compter de l’année de présentation de la demande de désignation volontaire en tant que prestataire critique et de l’année précédant cette demande;

g)

une description de chaque service TIC fourni à des entités financières de l’Union, y compris:

h)

une liste des entités financières qui utilisent les services TIC fournis par le prestataire tiers de services TIC, y compris les informations suivantes pour chacune des entités financières desservies, le cas échéant:

i)

une liste des prestataires tiers critiques de services TIC figurant dans la dernière liste disponible de ces fournisseurs publiée par les AES conformément à l’article 31, paragraphe 9, du règlement (UE) 2022/2554, qui s’appuient sur les services fournis par le demandeur, le cas échéant;

j)

une autoévaluation en ce qui concerne:

k)

des informations sur une stratégie commerciale future en ce qui concerne la fourniture de services et d’infrastructures TIC aux entités financières dans l’Union, y compris toute modification prévue du groupe ou de la structure de gestion, l’entrée sur de nouveaux marchés ou l’exercice de nouvelles activités;

l)

l’identification des sous-traitants du prestataire tiers de services TIC qui ont été désignés comme prestataires tiers critiques de services TIC;

m)

tout autre motif pertinent pour la demande de désignation comme prestataire tiers critique de services TIC.

a)

des informations sur les accords et les copies des documents contractuels entre:

b)

des informations sur la structure organisationnelle et la structure de groupe du prestataire tiers critique de services TIC, y compris l’identification de toutes les entités appartenant au même groupe qui fournissent directement ou indirectement des services TIC à des entités financières dans l’Union;

c)

des informations sur les principaux actionnaires, y compris leur structure et leur répartition géographique, des entités suivantes:

d)

des informations sur la part de marché du prestataire tiers critique de services TIC par type de services, sur les marchés pertinents où il exerce ses activités;

e)

des informations sur les dispositifs de gouvernance interne du prestataire tiers critique de services TIC, y compris la structure avec les lignes de responsabilité en matière de gouvernance et les règles d’imputabilité;

f)

le procès-verbal de la réunion de l’organe de direction du prestataire tiers critique de services TIC et de tout autre comité interne compétent, qui ont trait, de quelque manière que ce soit, aux activités et aux risques concernant les services TIC qui soutiennent des fonctions d’entités financières au sein de l’Union;

g)

des informations sur la sécurité des TIC du prestataire tiers critique de services TIC, y compris les stratégies, objectifs, politiques, procédures, protocoles, processus, mesures de contrôle visant à protéger les données sensibles, contrôles d’accès, pratiques de chiffrement et plans de réponse en cas d’incident pertinents, et des informations sur le respect de toutes les réglementations et de toutes les normes nationales et internationales pertinentes, le cas échéant;

h)

des informations sur les mesures techniques et organisationnelles visant à garantir la protection et la confidentialité des données, y compris les données à caractère personnel et non personnel, les mesures de contrôle mises en œuvre pour protéger les données sensibles, les contrôles d’accès, les pratiques de chiffrement et les plans de réponse en cas de violation de données; en ce qui concerne le traitement de données à caractère personnel, le prestataire tiers de services TIC est soumis à la législation de pays tiers, y compris aux demandes d’accès des gouvernements de pays tiers, à la liste des pays tiers et aux lois applicables;

i)

des informations sur les mécanismes que le prestataire tiers critique de services TIC propose aux entités financières de l’Union pour la portabilité des données, la portabilité des applications et l’interopérabilité;

j)

des informations sur la localisation des centres de données et des centres de production de TIC utilisés aux fins de la fourniture de services aux entités financières, y compris une liste de tous les locaux et installations pertinents du prestataire tiers critique de services TIC, y compris en dehors de l’Union;

k)

des informations sur la fourniture de services par un prestataire tiers critique de services TIC de pays tiers, y compris des informations sur les dispositions juridiques pertinentes applicables aux données à caractère personnel et à caractère non personnel traitées par le prestataire tiers de services TIC;

l)

des informations sur les mesures prises pour faire face aux risques découlant de la fourniture de services TIC par un prestataire tiers critique de services TIC et ses sous-traitants de pays tiers;

m)

des informations sur le cadre de gestion du risque et le cadre de gestion des incidents, notamment les politiques, procédures, outils, mécanismes et modalités de gouvernance du prestataire tiers critique de services TIC et de ses sous-traitants, y compris la liste et la description des incidents majeurs ayant des effets directs ou indirects sur les entités financières au sein de l’Union, y compris les détails pertinents permettant de déterminer l’importance de l’incident pour les entités financières et d’évaluer les éventuelles incidences transfrontières;

n)

des informations sur le cadre de gestion des changements, y compris les politiques, procédures et contrôles du prestataire tiers critique de services TIC et de ses sous-traitants;

o)

des informations sur le cadre global de réponse et de rétablissement du prestataire tiers critique de services TIC, y compris les plans de continuité des activités et les accords et procédures connexes, la politique de cycle de vie du développement des logiciels, les plans de réponse et de rétablissement et les modalités et procédures connexes, les modalités et procédures des politiques de sauvegarde;

p)

des informations sur le suivi des performances, le suivi de la sécurité et le suivi des incidents, ainsi que des informations sur les mécanismes de déclaration liés à la performance des services, aux incidents et au respect des accords de niveau de service et des objectifs de niveau de service convenus, ou d’accords similaires conclus entre des prestataires tiers critiques de services TIC et des entités financières dans l’Union;

q)

des informations sur le cadre de gestion, par un prestataire tiers de services TIC, du prestataire tiers critique de services TIC, notamment les stratégies, politiques, procédures, processus et contrôles, y compris des détails sur la diligence requise et l’évaluation des risques effectuée par le prestataire tiers critique de services TIC sur ses sous-traitants avant de conclure un accord avec eux, ainsi que le suivi de la relation couvrant tous les risques pertinents en matière de TIC et de contrepartie;

r)

des extractions des systèmes de suivi et d’analyse du prestataire tiers critique de services TIC et de ses sous-traitants, couvrant, sans toutefois s’y limiter, le suivi du réseau, des serveurs, des applications et de la sécurité, l’analyse des vulnérabilités, la gestion des journaux, le suivi des performances, la gestion des incidents et les mesures liées aux objectifs de fiabilité, tels que les objectifs de niveau de service;

s)

des extractions de tout système ou application de production, de préproduction et de test utilisé(e) par le prestataire tiers critique de services TIC et ses sous-traitants pour fournir directement ou indirectement des services à des entités financières dans l’Union;

t)

les rapports d’audit de conformité et les rapports d’audit disponibles, ainsi que toute constatation d’audit pertinente, y compris les audits réalisés par les autorités nationales dans l’Union et en dehors de l’Union lorsque des accords de coopération avec les autorités compétentes prévoient un tel échange d’informations, ou les certifications obtenues par le prestataire tiers critique de services TIC ou ses sous-traitants, y compris les rapports d’auditeurs internes et externes, les certifications ou les évaluations de la conformité avec les normes sectorielles. Cela comprend des informations sur tout type de test indépendant disponible de la résilience des systèmes TIC du prestataire tiers critique de services TIC, y compris tout type de test d’intrusion fondé sur la menace effectué par le prestataire tiers de services TIC;

u)

des informations sur toute évaluation effectuée par le prestataire tiers critique de services TIC à sa demande ou en son nom, concernant le caractère approprié et l’intégrité des personnes occupant des postes clés au sein du prestataire tiers critique de services TIC;

v)

des informations sur tout plan de mesures correctives visant à donner suite aux recommandations visées à l’article 3, et les informations pertinentes connexes permettant de confirmer la mise en œuvre des solutions;

w)

des informations sur les programmes de formation des salariés et les programmes de sensibilisation à la sécurité disponibles, y compris, le cas échéant, des informations sur les investissements, les ressources et les méthodes du prestataire tiers critique de services TIC pour former son personnel à traiter des données financières sensibles et à maintenir des niveaux élevés de sécurité;

x)

des informations sur les activités du prestataire tiers critique de services TIC et les états financiers, y compris des informations sur le budget et les ressources liées aux TIC et à la sécurité.

a)

les rapports d’avancement intermédiaires et les documents justificatifs connexes précisant l’état d’avancement de la mise en œuvre des mesures et solutions énoncées dans le rapport fourni par le prestataire tiers critique de services TIC au superviseur principal dans le délai défini par ce dernier;

b)

les rapports finaux et les documents justificatifs connexes précisant les mesures prises ou les solutions mises en œuvre par le prestataire tiers critique de services TIC afin d’atténuer les risques recensés dans les recommandations reçues.

a)

suivent la structure indiquée par le superviseur principal dans sa demande d’informations;

b)

localisent clairement l’élément d’information pertinent dans la documentation soumise.

a)

l’adéquation et la cohérence des mesures correctives mises en œuvre par les entités financières pour atténuer les risques recensés dans les recommandations;

b)

l’évaluation effectuée par le superviseur principal du respect, par le prestataire tiers critique de services TIC, des mesures et solutions figurant dans le rapport lorsque ce respect a une incidence sur l’exposition des entités financières relevant de la compétence de ce prestataire aux risques recensés dans les recommandations;

c)

l’avis de toute autre autorité compétente qui a été consultée conformément à l’article 42, paragraphe 5, du règlement (UE) 2022/2554;

d)

la question de savoir si le superviseur principal a considéré que les mesures et solutions mises en œuvre par le prestataire tiers critique de services TIC étaient adéquates pour atténuer l’exposition des entités financières relevant de la compétence de ce prestataire aux risques recensés dans les recommandations.