izskaidrojot, kā IKT riska pārvaldības sistēma atbalsta finanšu vienības uzņēmējdarbības stratēģiju un mērķus;

nosakot riska tolerances līmeni IKT riskam saskaņā ar finanšu vienības gatavību uzņemties risku, kā arī analizējot IKT traucējumu ietekmes noturību;

nosakot skaidrus informācijas drošības mērķus, tostarp galvenos snieguma rādītājus un galvenos riska rādītājus;

izskaidrojot IKT atsauces arhitektūru un jebkādas izmaiņas, kas vajadzīgas, lai sasniegtu konkrētus uzņēmējdarbības mērķus;

izklāstot dažādos mehānismus, kas ieviesti, lai atklātu ar IKT saistītus incidentus, novērstu to ietekmi un nodrošinātu aizsardzību pret to;

pamatojot pašreizējās digitālās darbības noturības situāciju, balstoties uz paziņoto būtisko ar IKT saistīto incidentu skaitu un preventīvo pasākumu efektivitāti;

īstenojot digitālās darbības noturības testēšanu saskaņā ar šīs regulas IV nodaļu;

izklāstot saziņas stratēģiju ar IKT saistītu incidentu gadījumā, par ko jāsniedz informācija saskaņā ar 14. pantu.

nodrošina datu pārsūtīšanas līdzekļu drošību;

pēc iespējas samazina datu bojājumu vai zudumu, neatļautas piekļuves un tehnisko nepilnību, kas varētu kavēt uzņēmējdarbību, risku;

novērš datu pieejamības trūkumu, autentiskuma un integritātes aizskārumu, konfidencialitātes pārkāpumus un datu zudumu;

nodrošina datu aizsardzību pret riskiem, kas rodas no datu pārvaldības, tostarp sliktas pārvaldības, ar apstrādi saistītiem riskiem un cilvēka kļūdām.

izstrādā un dokumentē informācijas drošības politiku, ar ko paredz noteikumus, lai aizsargātu savu un attiecīgā gadījumā klientu datu, informācijas aktīvu un IKT aktīvu pieejamību, autentiskumu, integritāti un konfidencialitāti;

saskaņā ar uz risku balstītu pieeju izveido stabilu tīkla un infrastruktūras pārvaldības struktūru, lietojot attiecīgus paņēmienus, metodes un protokolus, kas var ietvert tādu automatizētu mehānismu ieviešanu, ar kuriem izolēt skartos informācijas aktīvus kiberuzbrukuma gadījumā;

īsteno rīcībpolitiku, kas ierobežo fizisku vai loģisku piekļuvi informācijas aktīviem un IKT aktīviem un datiem tikai tādā apjomā, kāds ir nepieciešams leģitīmām un atļautām funkcijām un darbībām, un šim nolūkam izveido rīcībpolitikas, procedūru un kontroles pasākumu kopumu, ar ko nosaka piekļuves tiesības un nodrošina to pareizu pārvaldību;

īsteno rīcībpolitiku un protokolus, kas paredz spēcīgus autentificēšanas mehānismus, kuri ir balstīti uz attiecīgiem standartiem un īpašām kontroles sistēmām, un aizsardzības pasākumus šifrēšanas atslēgu veidā, ar kurām dati tiek šifrēti, balstoties uz apstiprinātiem datu klasifikācijas un IKT riska novērtējuma procesiem;

īsteno dokumentētu IKT izmaiņu, tostarp programmatūras, aparatūras, aparātprogrammatūras komponentu, sistēmu vai drošības parametru, pārvaldības politiku, procedūras un kontroli, kas ir balstītas uz riska novērtēšanas pieeju un ir finanšu vienības kopējās izmaiņu pārvaldības politikas neatņemama daļa, lai nodrošinātu, ka visas IKT sistēmu izmaiņas tiek kontrolēti reģistrētas, testētas, novērtētas, apstiprinātas, ieviestas un pārbaudītas;

ievieš dokumentētu attiecīgu un visaptverošu labojumu un atjauninājumu politiku.

nodrošināt finanšu vienības kritiski svarīgo vai svarīgo funkciju nepārtrauktību;

ātri, pienācīgi un efektīvi reaģēt uz visiem ar IKT saistītajiem incidentiem un novērst tos tā, lai ierobežotu kaitējumu un par prioritārām noteiktu darbības atsākšanu un seku novēršanu;

nekavējoties aktivizēt īpašus plānus, kas ļauj īstenot ierobežošanas pasākumus, procesus un tehnoloģijas, kuri piemēroti katram ar IKT saistīto incidentu veidam un ļauj novērst turpmāku kaitējumu, kā arī pielāgotas reaģēšanas un seku novēršanas procedūras, kas noteiktas saskaņā ar 12. pantu;

provizoriski aplēst ietekmi, kaitējumu un zaudējumus;

noteikt saziņas un krīzes pārvarēšanas pasākumus, kas nodrošina atjauninātas informācijas nosūtīšanu visam attiecīgajam iekšējam personālam un ārējām ieinteresētajām personām saskaņā ar 14. pantu un tās paziņošanu kompetentajām iestādēm saskaņā ar 19. pantu.

vismaz reizi gadā, kā arī pēc būtiskām tādu IKT sistēmu izmaiņām, ar kurām atbalsta kritiski svarīgas vai svarīgas funkcijas, testē IKT darbības nepārtrauktības plānus un IKT reaģēšanas un seku novēršanas plānus saistībā ar IKT sistēmām, kas atbalsta visas funkcijas;

testē saskaņā ar 14. pantu izveidotos krīzes saziņas plānus.

rezerves kopiju veidošanas politiku un procedūras, kur nosaka to datu tvērumu, kuriem jāveido rezerves kopijas, un rezerves kopiju veidošanas minimālo biežumu, balstoties uz informācijas svarīgumu vai datu konfidencialitātes līmeni;

atjaunošanas un atgūšanas procedūras un metodes.

sīkāk precizētu elementus, kas jāiekļauj 1. punkta otrās daļas a) apakšpunktā minētajā IKT riska pārvaldības sistēmā;

sīkāk precizētu elementus, kas saistīti ar 1. punkta otrās daļas c) apakšpunktā minētajām sistēmām, protokoliem un rīkiem IKT riska ietekmes iespējamai samazināšanai, nolūkā nodrošināt tīklu drošību, nodrošināt pienācīgus aizsardzības pasākumus pret ielaušanos un datu ļaunprātīgu izmantošanu un saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti;

sīkāk precizētu 1. punkta otrās daļas f) apakšpunktā minēto IKT darbības nepārtrauktības plānu komponentus;

sīkāk precizētu noteikumus par darbības nepārtrauktības plānu testēšanu un nodrošinātu 1. punkta otrās daļas g) apakšpunktā minētās kontroles efektivitāti un nodrošinātu, ka šādā testēšanā pienācīgi ņem vērā scenārijus, kuros kritiski svarīgas vai svarīgas funkcijas nodrošināšanas kvalitāte pasliktinās līdz nepieņemamam līmenim vai kad tā nedarbojas;

sīkāk precizētu 2. punktā minētā ziņojuma par IKT riska pārvaldības sistēmas pārskatīšanu saturu un formātu.

finanšu vienības, kurām ir līgumiskas vienošanās par IKT pakalpojumu izmantošanu savas uzņēmējdarbības veikšanai, nepārtraukti ir pilnībā atbildīgas par visu šajā regulā un piemērojamos finanšu pakalpojumu tiesību aktos noteikto saistību ievērošanu un izpildi;

finanšu vienības īsteno ar trešo personu saistītā IKT riska pārvaldību saskaņā ar proporcionalitātes principu, ņemot vērā:

novērtē, vai līgumiskā vienošanās attiecas uz tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgu vai svarīgu funkciju;

novērtē, vai ir izpildīti uzraudzības nosacījumi līguma slēgšanai;

identificē un novērtē visus būtiskos riskus saistībā ar līgumisko vienošanos, tostarp iespēju, ka šāda līgumiska vienošanās var sekmēt IKT koncentrācijas riska palielināšanos, kā minēts 29. pantā;

ar visu pienācīgo rūpību pārbauda iespējamās trešās personas, kas sniedz IKT pakalpojumus, un visos atlases un novērtēšanas procesos nodrošina, ka trešā persona, kas sniedz IKT pakalpojumus, ir piemērota;

identificē un novērtē interešu konfliktus, ko var izraisīt līgumiskā vienošanās.

trešā persona, kas sniedz IKT pakalpojumus, būtiski pārkāpj piemērojamos tiesību aktus, noteikumus vai līguma noteikumus;

pastāv apstākļi, kuri identificēti visā ar trešo personu saistītā riska pārraudzībā un kurus uzskata par tādiem, kas var mainīt ar līgumisko vienošanos sniegto funkciju izpildi, tostarp būtiskas izmaiņas, kas ietekmē trešās personas, kas sniedz IKT pakalpojumus, struktūru vai situāciju;

pastāv trešās personas, kas sniedz IKT pakalpojumus, pierādītas nepilnības attiecībā uz tās vispārējā IKT riska pārvaldību un jo īpaši attiecībā uz veidu, kādā tas nodrošina datu – gan personas, gan citādi sensitīvu datu, gan datu, kas nav personas dati – pieejamību, autentiskumu, integritāti un konfidenciālitāti;

ja kompetentā iestāde vairs nevar efektīvi uzraudzīt finanšu vienību attiecīgās līgumiskās vienošanās nosacījumu rezultātā vai ar to saistītu apstākļu dēļ.

līguma noslēgšana ar trešo personu, kas sniedz IKT pakalpojumus un kas nav viegli aizstājama; vai

pastāvētu vairākas līgumiskas vienošanās attiecībā uz IKT pakalpojumu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, sniegšanu ar to pašu trešo personu, kas sniedz IKT pakalpojumus, vai ar cieši saistītām trešām personām, kas sniedz IKT pakalpojumus.

skaidru un pilnīgu aprakstu par visām funkcijām un IKT pakalpojumiem, ko nodrošina trešā persona, kas sniedz IKT pakalpojumus, norādot, vai ir atļauts IKT pakalpojumu, ar ko atbalsta kritiski svarīgu vai svarīgu funkciju, vai būtiskas tā daļas nodot apakšuzņēmējam un, ja tā ir – nosacījumus, ko piemēro nodošanai apakšuzņēmējam;

ar līgumu vai apakšuzņēmuma līgumu nodoto funkciju un IKT pakalpojumu izpildes un datu apstrādes vietas, proti, reģioni vai valstis, tostarp to glabāšanas vietu, kā arī prasību trešai personai, kas sniedz IKT pakalpojumus, iepriekš paziņot finanšu vienībai, ja tā plāno šādas vietas mainīt;

noteikumus par pieejamību, autentiskumu, integritāti un konfidencialitāti, saistībā ar datu, tostarp personas datu, aizsardzību;

noteikumus par to, kā nodrošināt piekļuvi finanšu vienības apstrādātajiem personas datiem un datiem, kas nav personas dati, to atgūšanu un atgriešanu viegli piekļūstamā formātā trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas, noregulējuma vai uzņēmējdarbības izbeigšanas gadījumā vai līgumisku vienošanos izbeigšanas gadījumā;

pakalpojumu līmeņa aprakstus, tostarp to atjauninājumus un labojumus;

trešās personas, kas sniedz IKT pakalpojumus, pienākumu sniegt palīdzību finanšu vienībai bez papildu izmaksām vai par izmaksām, kas ir noteiktas ex-ante, ja notiek IKT incidents, kas ir saistīts ar finanšu vienībai sniegto IKT pakalpojumu;

trešās personas, kas sniedz IKT pakalpojumus, pienākumu pilnībā sadarboties ar finanšu vienības kompetentajām iestādēm un noregulējuma iestādēm, tostarp to ieceltajām personām;

izbeigšanas tiesības un ar tām saistītos minimālos paziņošanas termiņus attiecībā uz līgumiskās vienošanās izbeigšanu atbilstoši tam, kā to sagaida kompetentās iestādes un noregulējuma iestādes;

nosacījumus trešo personu, kas sniedz IKT pakalpojumus, dalībai finanšu vienību IKT drošības izpratnes veidošanas programmās un digitālās darbības noturības mācībās saskaņā ar 13. panta 6. punktu.

pilnīgus pakalpojumu līmeņa aprakstus, tostarp to atjauninājumus un labojumus, norādot precīzus kvantitatīvus un kvalitatīvus darbības mērķus saskaņotajos pakalpojumu līmeņos, lai ļautu finanšu vienībai efektīvi uzraudzīt IKT pakalpojumus un lai bez liekas kavēšanās varētu veikt atbilstīgus koriģējošus pasākumus, ja netiek ievēroti saskaņotie pakalpojumu līmeņi;

trešai personai, kas sniedz IKT pakalpojumus, saistošos paziņošanas termiņus un ziņošanas pienākumus attiecībā pret finanšu vienību, tostarp paziņošanu par jebkādu notikumu attīstību, kura varētu būtiski ietekmēt trešās personas, kas sniedz IKT pakalpojumus, spēju efektīvi sniegt IKT pakalpojumus, ar ko atbalsta kritiski svarīgas vai svarīgas funkcijas atbilstīgi saskaņotajiem pakalpojumu līmeņiem;

prasības trešai personai, kas sniedz IKT pakalpojumus, īstenot un testēt uzņēmējdarbības ārkārtas rīcības plānus un ieviest IKT drošības pasākumus, instrumentus un politikas pasākumus, kas nodrošina pienācīgu drošības līmeni finanšu vienības pakalpojumu sniegšanai saskaņā ar tās normatīvo regulējumu;

trešās personas, kas sniedz IKT pakalpojumus, pienākumu piedalīties un pilnībā sadarboties finanšu vienības DVIT, kā minēts 26. un 27. pantā;

tiesības pastāvīgi uzraudzīt trešās personas, kas sniedz IKT pakalpojumus, veikto izpildi, kas ietver:

atkāpšanās stratēģijas, jo īpaši obligāta piemērota pārejas perioda noteikšanu:

izraugās trešās personas, kas sniedz IKT pakalpojumus, kuras ir kritiski svarīgas finanšu vienībām, pēc novērtējuma, kurā ņemti vērā 2. punktā minētie kritēriji;

par galveno pārraugu katrai kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, ieceļ EUI, kas saskaņā ar Regulām (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 vai (ES) Nr. 1095/2010 ir atbildīga par finanšu vienībām, kurām aktīvu kopējā vērtība veido lielāko daļu no visu to finanšu vienību kopējo aktīvu vērtības, kuras izmanto pakalpojumus, kurus sniedz attiecīgās kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, ko apliecina minēto finanšu vienību individuālo bilanču summa.

sistēmiskā ietekme uz finanšu pakalpojumu sniegšanas stabilitāti, nepārtrauktību vai kvalitāti gadījumā, ja attiecīgajai trešai personai, kas sniedz IKT pakalpojumus, iestātos plaši darbības traucējumi, kuru dēļ tā nespētu sniegt savus pakalpojumus, ņemot vērā finanšu vienību skaitu un to finanšu vienību aktīvu kopējo vērtību, kurām attiecīgā trešā persona, kas sniedz IKT pakalpojumus, sniedz pakalpojumus;

finanšu vienību, kas paļaujas uz attiecīgo trešo personu, kas sniedz IKT pakalpojumus, sistēmiskais raksturs vai nozīme, ko novērtē saskaņā ar šādiem parametriem:

finanšu vienību paļaušanās uz attiecīgās trešās personas, kas sniedz IKT pakalpojumus, sniegtajiem pakalpojumiem saistībā ar tādu finanšu vienību kritiski svarīgām vai svarīgām funkcijām, kurās galu galā ir iesaistīta viena un tā pati trešā persona, kas sniedz IKT pakalpojumus, neatkarīgi no tā, vai finanšu vienības šos pakalpojumus izmanto tieši vai netieši, izmantojot apakšuzņēmuma līgumus;

trešās personas, kas sniedz IKT pakalpojumus, aizstājamības pakāpe, ņemot vērā šādus parametrus:

finanšu vienībām, kas sniedz IKT pakalpojumus citām finanšu vienībām;

trešām personām, kas sniedz IKT pakalpojumus un kurām piemēro Līguma par Eiropas Savienības darbību 127. panta 2. punktā minēto uzdevumu atbalstam izveidotās pārraudzības sistēmas;

IKT pakalpojumu sniedzējiem, kas pieder vienai grupai;

trešām personām, kas sniedz IKT pakalpojumus tikai vienā dalībvalstī finanšu vienībām, kuras darbojas tikai attiecīgajā dalībvalstī.

EUI vadītāji;

viens augsta līmeņa pārstāvis no attiecīgās 46. pantā minētās kompetentās iestādes pašreizējā personāla katrā dalībvalstī;

katras EUI izpilddirektori un pa vienam pārstāvim no Komisijas, ESRK, ECB un ENISA kā novērotāji;

attiecīgā gadījumā – vēl viens 46. pantā minētās kompetentās iestādes pārstāvis no katras dalībvalsts kā novērotājs;

attiecīgā gadījumā – kā novērotājs viens tādu kompetento iestāžu pārstāvis, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555 un ir atbildīgas par tādas būtiskas vai svarīgas vienības uzraudzību, kas ir izraudzīta par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, uz kuru attiecas minētā direktīva.

IKT prasības, kuru mērķis jo īpaši ir nodrošināt to pakalpojumu drošību, pieejamību, nepārtrauktību, mērogojamību un kvalitāti, kurus kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, sniedz finanšu vienībām, kā arī spēju nepārtraukti uzturēt augstus datu pieejamības, autentiskuma, integritātes vai konfidencialitātes standartus;

fizisko drošību, kas palīdz nodrošināt IKT drošību, tostarp telpu, objektu, datu centru drošību;

riska pārvaldības procesus, tostarp IKT riska pārvaldības rīcībpolitiku, IKT darbības nepārtrauktības politiku un IKT reaģēšanas un seku novēršanas plānus;

pārvaldības kārtību, tostarp organizatorisku struktūru ar skaidriem, pārredzamiem un konsekventiem atbildības un pārskatatbildības noteikumiem, kas ļauj veikt efektīvu IKT riska pārvaldību;

ar IKT saistītu būtisku incidentu apzināšanu, uzraudzību un tūlītēju paziņošanu finanšu vienībām, šo incidentu, jo īpaši kiberuzbrukumu, pārvaldību un atrisināšanu;

datu pārnesamības, lietojumprogrammu pārnesamības un sadarbspējas mehānismus, kas finanšu vienībām nodrošina izbeigšanas tiesību efektīvu īstenošanu;

IKT sistēmu, infrastruktūras un kontroles testēšanu;

IKT revīzijas;

tādu attiecīgu valsts un starptautisko standartu izmantošanu, ko piemēro IKT pakalpojumu sniegšanai finanšu vienībām.

pieprasīt visu attiecīgo informāciju un dokumentus saskaņā ar 37. pantu;

veikt vispārēju izmeklēšanu un pārbaudes saskaņā ar attiecīgi 38. un 39. pantu;

pēc pārraudzības darbību pabeigšanas pieprasīt ziņojumus, kuros ir norādītas kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, veiktās darbības vai īstenotie novēršanas pasākumi saistībā ar šā punkta d) apakšpunktā minētajiem ieteikumiem;

sniegt ieteikumus attiecībā uz 33. panta 3. punktā minētajām jomām, jo īpaši saistībā ar šādiem jautājumiem:

Šā apakšpunkta iv) punkta nolūkos trešās personas, kas sniedz IKT pakalpojumus, izmantojot 41. panta 1. punkta b) apakšpunktā minēto veidni, nosūta informāciju par apakšuzņēmuma līguma slēgšanu galvenajam pārraugam.

nodrošina regulāru koordināciju JON ietvaros un jo īpaši attiecīgos gadījumos cenšas panākt konsekventas pieejas attiecībā uz kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzību;

pienācīgi ņem vērā satvaru, kas izveidots ar Direktīvu (ES) 2022/2555, un vajadzības gadījumā apspriežas ar attiecīgajām kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar minēto direktīvu, lai izvairītos no tādu tehnisko un organizatorisko pasākumu dublēšanās, kas, ievērojot minēto direktīvu, varētu attiekties uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus;

ciktāl iespējams, cenšas līdz minimumam samazināt risku, ka tiek traucēti kritiski svarīgo trešo personu sniegtie IKT pakalpojumi klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā.

neatbilstības smagums un ilgums;

tas, vai neatbilstība ir notikusi tīši vai nolaidības dēļ;

apmērs, kādā trešā persona, kas sniedz IKT pakalpojumus, ir sadarbojusies ar galveno pārraugu.

35. panta 1. punkta a) apakšpunktā; un

35. panta 1. punkta b) apakšpunktā saskaņā ar 38. panta 2. punkta a), b) un d) apakšpunktu un 39. panta 1. punktā un 2. punkta a) apakšpunktā.

īsteno savas 35. pantā paredzētās pilnvaras, pamatojoties uz visiem tam pieejamajiem faktiem un dokumentiem;

dokumentē un skaidro visas sekas, kādas rada tā nespēja veikt paredzētās pārraudzības darbības, kā minēts šajā pantā.

atsaucas uz šo pantu kā pieprasījuma juridisko pamatu;

norāda pieprasījuma mērķi;

norāda, kāda informācija ir vajadzīga;

nosaka termiņu, līdz kuram informācija ir jāsniedz;

informē kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus un no kuras tiek pieprasīta informācija, pārstāvi, ka tā var nesniegt šo informāciju, bet, ja tā atbildi sniedz brīvprātīgi, sniegtā informācija nedrīkst būt nepatiesa un maldinoša.

atsaucas uz šo pantu kā pieprasījuma juridisko pamatu;

norāda pieprasījuma mērķi;

norāda, kāda informācija ir vajadzīga;

nosaka termiņu, līdz kuram informācija ir jāsniedz;

norāda 35. panta 6. punktā paredzēto periodisko soda maksājumu, ja pieprasītā informācija nav sniegta pilnā apmērā vai ja šāda informācija netiek sniegta šā punkta d) apakšpunktā minētajā termiņā;

norāda uz tiesībām šo lēmumu apstrīdēt EUI Apelācijas padomē un uz iespēju to pārskatīt Eiropas Savienības Tiesā (Tiesa) saskaņā ar 60. un 61. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

pārbaudīt uzskaites dokumentus, datus, procedūras un pārējos materiālus, kas saistīti ar tā uzdevumu izpildi, neatkarīgi no tā, kādā veidā šī informācija tiek glabāta;

noņemt vai iegūt šādu uzskaites dokumentu, datu, dokumentētu procedūru un jebkādu citu materiālu apstiprinātas kopijas vai izrakstus;

izsaukt kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, pārstāvjus sniegt mutiskus vai rakstiskus paskaidrojumus par faktiem vai dokumentiem, kas attiecas uz izmeklēšanas priekšmetu un mērķi, un fiksēt atbildes;

iztaujāt jebkuru citu fizisku vai juridisku personu, kas piekrīt iztaujāšanai, lai iegūtu informāciju, kas saistīta ar izmeklēšanas priekšmetu;

pieprasīt telefona sarunu izdrukas vai datplūsmas pārskatus.

iekļūt jebkurās šādās uzņēmuma telpās, zemes gabalos vai īpašumā; un

aizzīmogot jebkuras šāda uzņēmuma telpas, uzskaites žurnālus un reģistrus uz tik ilgu laiku un tādā apjomā, kāds vajadzīgs pārbaudei.

EUI;

attiecīgajām kompetentajām iestādēm, kas uzrauga finanšu vienības, kurām IKT pakalpojumus sniedz kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus;

valsts kompetentās iestādes, kas minēta 32. panta 4. punkta e) apakšpunktā, – brīvprātīgā kārtā;

vienas valsts kompetentās iestādes dalībvalstī, kurā ir iedibināta kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, – brīvprātīgā kārtā.

informāciju, kas trešai personai, kas sniedz IKT pakalpojumus, jāsniedz pieteikumā ar brīvprātīgu pieprasījumu izraudzīšanai par kritiski svarīgu saskaņā ar par 31. panta 11. punktu;

tās informācijas saturu, struktūru un formātu, kas trešai personai, kas sniedz IKT pakalpojumus, jāiesniedz, jāatklāj vai jāpaziņo saskaņā ar 35. panta 1. punktu, tostarp veidni informācijas sniegšanai par apakšuzņēmuma līgumiem;

kritērijus, pēc kuriem nosaka kopīgās pārbaudes grupas sastāvu, nodrošinot EUI un attiecīgo kompetento iestāžu darbinieku līdzsvarotu dalību, viņu iecelšanu, uzdevumus un darba procedūras;

detalizētu informāciju par kompetento iestāžu veikto novērtējumu attiecībā uz pasākumiem, ko veic kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, pamatojoties uz galvenā pārrauga ieteikumiem saskaņā ar 42. panta 3. punktu.

neatbilstības smagums un ilgums;

vai neatbilstība ir atklājusi būtiskus trūkumus kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, procedūrās, pārvaldības sistēmās, riska pārvaldībā un iekšējā kontrolē;

vai neatbilstība ir veicinājusi vai izraisījusi finanšu noziegumu vai kā citādi ir ar to saistīta;

vai neatbilstība ir notikusi tīši vai nolaidības dēļ;

vai līgumisku vienošanos apturēšana vai izbeigšana rada risku finanšu vienības uzņēmējdarbības nepārtrauktībai, neskarot finanšu vienības centienus izvairīties no traucējumiem tā pakalpojumu sniegšanā;

attiecīgā gadījumā – atzinums, ko sniedz kompetentās iestādes, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555 un ir atbildīgas par tādas būtiskas vai svarīgas vienības uzraudzību, kura ir izraudzīta par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, uz kuru attiecas minētā direktīva un kas ir pieprasīts brīvprātīgi saskaņā ar šā panta 5. punktu.

kritēriji, kas paredzēti, lai saskaņā ar 31. panta 2. punktu izraudzītos kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus;

19. pantā minēto būtisko kiberdraudu paziņošanas brīvprātīgums;

31. panta 12. punktā minētā kārtība un galvenā pārrauga pilnvaras, kas paredzētas 35. panta 1. punkta d) apakšpunkta iv) punkta pirmajā ievilkumā, nolūkā novērtēt, cik efektīvi ir minētie noteikumi, lai nodrošinātu efektīvu pārraudzību pār trešā valstī iedibinātām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un to, vai ir jāiedibina meitasuzņēmums Savienībā.

Šā apakšpunkta pirmās daļas vajadzībām pārskatīšanā iekļauj 31. panta 12. punktā minētās kārtības analīzi, tostarp noteikumus par Savienības finanšu vienību piekļuvi no trešām valstīm sniegtiem pakalpojumiem un šādu pakalpojumu pieejamību Savienības tirgū, un tajā ņem vērā turpmākās norises to pakalpojumu tirgos, uz kuriem attiecas šī regula, finanšu vienību un finanšu uzraudzības iestāžu praktisko pieredzi minētās kārtības piemērošanā un attiecīgi minētās kārtības uzraudzībā, kā arī visas attiecīgās regulatīvās un uzraudzības norises starptautiskā līmenī.

tas, vai ir lietderīgi šīs regulas darbības jomā iekļaut 2. panta 3. punkta e) apakšpunktā minētās finanšu vienības, kas izmanto automatizētas pārdošanas sistēmas, ņemot vērā turpmākās tirgus norises šādu sistēmu izmantošanā;

kopīgā pārraudzības tīkla (JON) darbība un efektivitāte, pārraudzības sistēmā sekmējot pārraudzības konsekvenci un informācijas apmaiņas efektivitāti.