Artykuł 5

ex ante

1. Polityka zawiera wymóg określenia potrzeb biznesowych podmiotu finansowego przed zawarciem ustalenia umownego.

2. Polityka zawiera wymóg, aby zawarcie ustalenia umownego było poprzedzone oceną ryzyka na poziomie podmiotu finansowego oraz, w stosownych przypadkach, na poziomie skonsolidowanym i subskonsolidowanym.

W ocenie ryzyka uwzględnia się wszystkie odpowiednie wymogi określone w rozporządzeniu (UE) 2022/2554 i mające zastosowanie sektorowe przepisy Unii. Uwzględnia ona w szczególności wpływ świadczenia usług ICT wspierających krytyczne lub istotne funkcje przez zewnętrznych dostawców usług ICT na podmiot finansowy oraz wszystkie rodzaje ryzyka stwarzane przez świadczenie tych usług ICT wspierających krytyczne lub istotne funkcje przez zewnętrznych dostawców usług ICT, w tym:

a) ryzyka operacyjne;

b) ryzyka prawne;

c) ryzyka związane z ICT;

d) ryzyka utraty reputacji;

e) ryzyka związane z ochroną danych poufnych lub osobowych;

f) ryzyka związane z dostępnością danych;

g) ryzyka związane z miejscem, w którym dane są przetwarzane i przechowywane;

h) ryzyka związane z siedzibą zewnętrznego dostawcy usług ICT;

i) ryzyka koncentracji w obszarze ICT na poziomie podmiotu.