Artykuł 1

Polityka w zakresie korzystania z usług ICT wspierających krytyczne lub istotne funkcje świadczonych przez zewnętrznych dostawców usług ICT („polityka”) uwzględnia wielkość i ogólny profil ryzyka podmiotu finansowego oraz charakter, skalę i elementy zwiększonego lub zmniejszonego stopnia złożoności realizowanych usług, działań i operacji, w tym elementy związane z:

a) rodzajem usług ICT objętych ustaleniem umownym dotyczącym korzystania z usług ICT wspierających krytyczne lub istotne funkcje świadczonych przez zewnętrznych dostawców usług ICT („ustalenie umowne”) zawartym między podmiotem finansowym a zewnętrznym dostawcą usług ICT;

b) siedzibą zewnętrznego dostawcy usług ICT lub siedzibą jego spółki dominującej;

c) faktem, czy usługi ICT wspierające krytyczne lub istotne funkcje są świadczone przez zewnętrznego dostawcę usług ICT mającego siedzibę w państwie członkowskim czy w państwie trzecim, biorąc również pod uwagę miejsce, z którego świadczone są usługi ICT, oraz miejsce, w którym dane są przetwarzane i przechowywane;

d) charakterem danych udostępnianych zewnętrznemu dostawcy usług ICT;

e) informacją, czy zewnętrzny dostawca usług ICT należy do tej samej grupy co podmiot finansowy, na rzecz którego świadczone są usługi;

f) korzystaniem z zewnętrznych dostawców usług ICT, którzy uzyskali zezwolenie od właściwego organu w państwie członkowskim, zostali zarejestrowani przez ten organ lub podlegają nadzorowi lub kontroli tego organu, lub podlegają ramom nadzoru na podstawie rozdziału V sekcja II rozporządzenia (UE) 2022/2554, oraz korzystaniem z zewnętrznych dostawców usług ICT, których wymienione elementy nie dotyczą;

g) korzystaniem z zewnętrznych dostawców usług ICT, którzy uzyskali zezwolenie od organu nadzorczego w państwie trzecim, zostali zarejestrowani przez ten organ lub podlegają nadzorowi lub kontroli tego organu, oraz korzystaniem z zewnętrznych dostawców usług ICT, których wymienione elementy nie dotyczą;

h) informacją o tym, czy świadczenie usług ICT wspierających krytyczne lub istotne funkcje koncentruje się na pojedynczym zewnętrznym dostawcy usług ICT lub niewielkiej liczbie takich dostawców usług;

i) możliwością przeniesienia usług ICT wspierających krytyczne lub istotne funkcje do innego zewnętrznego dostawcy usług ICT, w tym ze względu na specyfikę technologii;

j) potencjalnym wpływem zakłóceń w świadczeniu usług ICT wspierających krytyczne lub istotne funkcje na ciągłość działań podmiotu finansowego oraz na dostępność jego usług.