a)

a jogi személy neve;

b)

a jogi személy azonosító kódja;

c)

a kritikus harmadik fél IKT-szolgáltató kapcsolattartójának neve és elérhetőségei;

d)

az ország, ahol a jogi személy bejegyzett székhelye található;

e)

a vállalat felépítésének ismertetése, amely tartalmazza legalább az anyavállalatára és az uniós pénzügyi szervezeteknek IKT-szolgáltatásokat nyújtó más kapcsolt vállalkozásokra vonatkozó információkat. Ezen információknak adott esetben magukban kell foglalniuk a következőket:

f)

a harmadik fél IKT-szolgáltató becsült piaci részesedése az uniós pénzügyi szektorban, valamint piaci részesedése az (EU) 2022/2554 rendelet 2. cikkének (1) bekezdésében említett pénzügyiszervezet-típusonkénti bontásban a kritikusként való kijelölés iránti kérelem benyújtásának évében és az azt megelőző évben;

g)

az uniós pénzügyi szervezetek számára nyújtott valamennyi IKT-szolgáltatás leírása, beleértve:

h)

azoknak a pénzügyi szervezeteknek a listája, amelyek igénybe veszik a harmadik fél IKT-szolgáltató által nyújtott IKT-szolgáltatásokat, beleértve a következő információkat minden egyes kiszolgált pénzügyi szervezetre vonatkozóan, amennyiben ilyen információk rendelkezésre állnak:

i)

adott esetben a kritikus harmadik fél IKT-szolgáltatóknak az európai felügyeleti hatóságok által az (EU) 2022/2554 rendelet 31. cikkének (9) bekezdése értelmében közzétett, legfrissebb elérhető listáján szereplő olyan kritikus harmadik fél IKT-szolgáltatók listája, amelyek igénybe veszik a kérelmező által nyújtott szolgáltatásokat;

j)

a következők tekintetében elvégzett önértékelés:

k)

információk az uniós pénzügyi szervezeteknek nyújtott IKT-szolgáltatásokra és -infrastruktúrára vonatkozó jövőbeni üzleti stratégiáról, beleértve a vállalatcsoportban vagy irányítási struktúrában tervezett változtatásokat, új piacokra való belépést vagy új tevékenységek végzését;

l)

a harmadik fél IKT-szolgáltató olyan alvállalkozóinak azonosítása, amelyeket kritikus harmadik fél IKT-szolgáltatóként kijelöltek;

m)

bármely egyéb ok, amely lényeges a harmadik fél IKT-szolgáltató kritikusként való kijelölés iránti kérelme szempontjából.

a)

az alábbi felek között létrejött megállapodásokra vonatkozó információk, valamint a szerződéses dokumentumok másolatai:

b)

a kritikus harmadik fél IKT-szolgáltató szervezeti és csoportfelépítésére vonatkozó információk, beleértve az azonos vállalatcsoporthoz tartozó valamennyi olyan jogalany azonosítását, amelyek közvetlenül vagy közvetve IKT-szolgáltatásokat nyújtanak pénzügyi szervezeteknek az Unióban;

c)

a következők bármelyikének főrészvényeseire vonatkozó információk, beleértve a részvényesi szerkezetet és a földrajzi kiterjedésüket:

d)

a kritikus harmadik fél IKT-szolgáltató piaci részesedésére vonatkozó információk szolgáltatástípus szerinti bontásban azokon a releváns piacokon, ahol működik;

e)

a kritikus harmadik fél IKT-szolgáltató belső vállalatirányítási rendszerére vonatkozó információk, beleértve annak felépítését, ismertetve az irányítással kapcsolatos felelősségi köröket és elszámoltathatósági szabályokat;

f)

a kritikus harmadik fél IKT-szolgáltató vezető testülete és bármely más érintett belső bizottság üléséről készült jegyzőkönyv, amely bármilyen módon kapcsolódik az Unión belüli pénzügyi szervezetek funkcióit támogató, harmadik fél által nyújtott IKT-szolgáltatásokat érintő tevékenységekhez és kockázatokhoz;

g)

a kritikus harmadik fél IKT-szolgáltató IKT-biztonságára vonatkozó információk, beleértve a vonatkozó stratégiákat, célkitűzéseket, szabályzatokat, eljárásokat, protokollokat, folyamatokat, az érzékeny adatok védelmét szolgáló ellenőrzési intézkedéseket, a hozzáférés ellenőrzését, a titkosítási gyakorlatokat, az eseményekre/incidensekre adandó válaszlépéseket ismertető terveket, valamint adott esetben az összes vonatkozó előírásnak, nemzeti és nemzetközi szabványnak való megfelelésre vonatkozó információk;

h)

az adatvédelmet és az adatok – ideértve a személyes és nem személyes adatokat is – bizalmas kezelését biztosító technikai és szervezési intézkedésekre, az érzékeny adatok védelme érdekében végrehajtott ellenőrzési intézkedésekre, a hozzáférési jogosultságok ellenőrzésére, a titkosítási gyakorlatokra és az adatvédelmi incidensekre adandó válaszlépéseket ismertető tervre vonatkozó információk; amikor a személyes adatok kezelése tekintetében a harmadik fél IKT-szolgáltatóra harmadik országok jogszabályai vonatkoznak, amely magában foglalja harmadik országok kormányának az adatokhoz való hozzáférés iránti kérelmét, az országok listája és az alkalmazandó jogszabályok;

i)

azokra a mechanizmusokra vonatkozó információk, amelyeket a kritikus harmadik fél IKT-szolgáltató az uniós pénzügyi szervezeteknek kínál az adathordozhatóság, az alkalmazások hordozhatósága és az interoperabilitás érdekében;

j)

a pénzügyi szervezetek számára történő szolgáltatásnyújtás céljára igénybe vett adatközpontok és IKT-központok elhelyezkedésére vonatkozó információk, beleértve a kritikus harmadik fél IKT-szolgáltató összes releváns telephelyének és létesítményének listáját is – az Unión kívülieket is;

k)

a harmadik országokból származó kritikus harmadik fél IKT-szolgáltatók által nyújtott szolgáltatásokra vonatkozó információk, beleértve a harmadik fél IKT-szolgáltató által kezelt személyes és nem személyes adatokra alkalmazandó jogi rendelkezésekre vonatkozó információkat is;

l)

azokra az intézkedésekre vonatkozó információk, amelyeket a harmadik országokból származó kritikus harmadik fél IKT-szolgáltató és alvállalkozói az IKT-szolgáltatások nyújtásából eredő kockázatok kezelésére hoztak;

m)

a kockázatkezelési keretre és az incidenskezelési keretre vonatkozó információk, ideértve a kritikus harmadik fél IKT-szolgáltató és alvállalkozói szabályzatait, eljárásait, eszközeit, mechanizmusait és irányítási megállapodásait, többek között az Unión belüli pénzügyi szervezetekre közvetlen vagy közvetett hatást gyakorló jelentős események listáját és ismertetését, beleértve az esemény pénzügyi szervezetekre gyakorolt jelentőségének meghatározásához és a lehetséges határokon átnyúló hatások felméréséhez szükséges, releváns adatokat;

n)

a változáskezelési keretre vonatkozó információk, beleértve a kritikus harmadik fél IKT-szolgáltató és alvállalkozói szabályzatait, eljárásait és kontrolljait;

o)

a kritikus harmadik fél IKT-szolgáltató átfogó reagálási és helyreállítási keretére vonatkozó információk, ideértve az üzletmenet-folytonossági terveket és a kapcsolódó intézkedéseket és eljárásokat, a szoftverfejlesztési életciklusra vonatkozó irányelveket, a reagálási és helyreállítási terveket és a kapcsolódó intézkedéseket és eljárásokat, valamint a biztonsági mentésre vonatkozó intézkedéseket és eljárásokat;

p)

a teljesítmény és a biztonsági figyelemmel kísérésére és az események nyomon követésére vonatkozó információk, valamint a szolgáltatások teljesítésére, az eseményekre, továbbá a szolgáltatási szintre vonatkozó megállapodásoknak (SLA-k) és szolgáltatási szintre vonatkozó céloknak (SLO-k) vagy a kritikus harmadik fél IKT-szolgáltatók és az uniós pénzügyi szervezetek között létrejött hasonló megállapodásoknak való megfelelésre irányuló jelentési mechanizmusokra vonatkozó információk;

q)

a kritikus harmadik fél IKT-szolgáltató más IKT-vel foglalkozó harmadik felek kezelésére szolgáló keretrendszerével kapcsolatos információk, beleértve a stratégiákat, szabályzatokat, eljárásokat, folyamatokat és kontrollokat, többek között a kritikus harmadik fél IKT-szolgáltató által az alvállalkozói körében azelőtt végzett átvilágításra és kockázatértékelésre vonatkozó részletes adatokat, hogy megállapodást kötne velük, és figyelemmel kísérje a kapcsolatot az összes releváns IKT- és partnerkockázatra kiterjedően;

r)

a kritikus harmadik fél IKT-szolgáltató és alvállalkozói felügyeleti és átvizsgálási rendszereiből származó kivonatok, beleértve, de nem kizárólagosan a hálózatfelügyeletet, a szerverfelügyeletet, az alkalmazásfelügyeletet, a biztonsági felügyeletet, a sebezhetőségi vizsgálatokat, a naplókezelést, a teljesítményfelügyeletet, az incidenskezelést és a megbízhatósági célokkal, például SLO-kkal kapcsolatos méréseket;

s)

bármely olyan éles üzemben lévő, éles üzemet megelőző szakaszban lévő és tesztelésre szolgáló rendszerből vagy alkalmazásból származó kivonatok, amelyet a kritikus harmadik fél IKT-szolgáltató és annak alvállalkozói arra használnak, hogy közvetlenül vagy közvetve szolgáltatást nyújtsanak az Unióban működő pénzügyi szervezeteknek;

t)

megfelelőségi és rendelkezésre álló ellenőrzési jelentések, valamint minden releváns ellenőrzés megállapításai, beleértve az Unión belüli és az Unión kívüli nemzeti hatóságok által végzett ellenőrzéseket, amennyiben az érintett hatóságokkal kötött együttműködési megállapodások rendelkeznek ilyen információcseréről, illetve a kritikus harmadik fél IKT-szolgáltató vagy alvállalkozói által megszerzett tanúsítványok, beleértve a belső és külső ellenőrök jelentéseit, tanúsítványait, vagy az iparág-specifikus szabványoknak való megfelelőségi értékelések. Ez magában foglalja a kritikus harmadik fél IKT-szolgáltató IKT-rendszerei rezilienciájának bármely típusú elérhető független tesztelésére – beleértve a harmadik fél IKT-szolgáltató által valamely fenyegetés kapcsán végzett penetrációs (behatolási) tesztelést is – vonatkozó információkat;

u)

a kritikus harmadik fél IKT-szolgáltató kérésére vagy nevében a kritikus harmadik fél IKT-szolgáltatónál kulcsfontosságú pozíciót betöltő személyek alkalmasságát és feddhetetlenségét vizsgáló értékelésekre vonatkozó információk;

v)

a 3. cikk szerinti ajánlások teljesítését célzó bármely helyreállítási tervvel kapcsolatos információk, valamint a korrekciók végrehajtásának megerősítésére vonatkozó lényeges információk;

w)

a rendelkezésre álló munkavállalói képzési rendszerekre és a biztonsággal kapcsolatos tudatosságot növelő programokra vonatkozó információk, beleértve adott esetben a kritikus harmadik fél IKT-szolgáltató azon beruházásaira, erőforrásaira és módszereire vonatkozó információkat, amelyek célja személyzetének az érzékeny pénzügyi adatok kezelésével és a magas szintű biztonság fenntartásával kapcsolatos képzése;

x)

a kritikus harmadik fél IKT-szolgáltató tevékenységeire és a pénzügyi kimutatásaira vonatkozó információk, ideértve az IKT-val és a biztonsággal kapcsolatos költségvetésre és forrásokra vonatkozó információkat.

a)

időközi eredményjelentések és a kapcsolódó alátámasztó dokumentumok, amelyek meghatározzák a kritikus harmadik fél IKT-szolgáltató által a vezető felvigyázóhoz – az utóbbi által megállapított határidőn belül – benyújtott jelentésben szereplő tevékenységek és intézkedések végrehajtásának előrehaladását;

b)

zárójelentések és a kapcsolódó alátámasztó dokumentumok, amelyek meghatározzák a kritikus harmadik fél IKT-szolgáltató által az ajánlásban azonosított kockázatok mérséklése érdekében tett intézkedéseket vagy végrehajtott korrekciókat.

a)

betartják a vezető felvigyázó által az adatszolgáltatás iránti kérelemben jelzett struktúrát;

b)

egyértelműen megjelölik a lényeges információkat a benyújtott dokumentációban.

a)

a pénzügyi szervezetek által az ajánlásokban azonosított kockázatok mérséklése érdekében végrehajtott korrekciós és helyreállító intézkedések megfelelősége és koherenciája;

b)

a vezető felvigyázó arra vonatkozó értékelése, hogy a kritikus harmadik fél IKT-szolgáltató végrehajtja-e a jelentésben szereplő intézkedéseket és tevékenységeket, amennyiben az hatással van a hatáskörébe tartozó pénzügyi szervezeteknek az ajánlásokban azonosított kockázatoknak való kitettségére;

c)

bármely más olyan illetékes hatóság álláspontja, amellyel az (EU) 2022/2554 rendelet 42. cikkének (5) bekezdésével összhangban konzultáltak;

d)

a vezető felvigyázó megfelelőnek ítélte-e meg a kritikus harmadik fél IKT-szolgáltató által végrehajtott intézkedéseket és korrekciókat annak érdekében, hogy mérsékelje a vezető felvigyázó hatáskörébe tartozó pénzügyi szervezeteknek az ajánlásokban azonosított kockázatoknak való kitettségét.