Kort fortalt
Den ledende tilsynsførende, der er udpeget i overensstemmelse med artikel 31, stk. 1, litra b), fører tilsyn med de tildelte kritiske tredjepartsudbydere af IKT-tjenester og er med henblik på alle spørgsmål vedrørende tilsynet det primære kontaktpunkt for disse kritiske tredjepartsudbydere af IKT-tjenester. 2. Den ledende tilsynsførende vurderer med henblik på stk. 1, om hver enkelt kritisk tredjepartsudbyder af…
Ofte stillede spørgsmål
Hvad handler Artikel 33 – Den ledende tilsynsførendes opgaver om?
Den ledende tilsynsførende, der er udpeget i overensstemmelse med artikel 31, stk. 1, litra b), fører tilsyn med de tildelte kritiske tredjepartsudbydere af IKT-tjenester og er med henblik på alle spørgsmål vedrørende tilsynet det primære kontaktpunkt for disse kritiske tredjepartsudbydere af IKT-tjenester. 2. Den ledende tilsynsførende vurderer med henblik på stk. 1, om hver enkelt kritisk tredjepartsudbyder af…
Hvor finder jeg den officielle tekst?
Den fulde officielle tekst findes på EUR-Lex. GDPR.DK's gengivelse er et læsevenligt opslagsværk og har ingen selvstændig retsvirkning.
Kilde og version
Den officielle danske tekst følger 2022-12-27 (32022R2554).
Den officielle ordlyd
Artikel 33
-
Den ledende tilsynsførende, der er udpeget i overensstemmelse med artikel 31, stk. 1, litra b), fører tilsyn med de tildelte kritiske tredjepartsudbydere af IKT-tjenester og er med henblik på alle spørgsmål vedrørende tilsynet det primære kontaktpunkt for disse kritiske tredjepartsudbydere af IKT-tjenester.
-
Den ledende tilsynsførende vurderer med henblik på stk. 1, om hver enkelt kritisk tredjepartsudbyder af IKT-tjenester har indført omfattende, robuste og effektive regler, procedurer, mekanismer og ordninger til styring af den IKT-risiko, som den kan udsætte finansielle enheder for.
Den vurdering, der er omhandlet i første afsnit, skal primært fokusere på de IKT-tjenester, som leveres af den kritiske tredjepartsudbyder af IKT-tjenester, og som understøtter finansielle enheders kritiske eller vigtige funktioner. Hvis det er nødvendigt for at imødegå alle relevante risici, skal denne vurdering omfatte IKT-tjenester, der understøtter andre funktioner end dem, der er kritiske eller vigtige.
- Den i stk. 2 omhandlede vurdering dækker følgende:
a) | IKT-krav, som navnlig skal garantere sikkerhed, tilgængelighed, kontinuitet, skalerbarhed og kvalitet for de tjenester, som den kritiske tredjepartsudbyder af IKT-tjenester leverer til finansielle enheder, samt at der til enhver tid kan opretholdes høje standarder for tilgængelighed, autenticitet, integritet eller fortrolighed |
b) | fysisk sikkerhed, som bidrager til at garantere IKT-sikkerheden, herunder sikkerheden i lokaler, faciliteter og datacentre |
c) | risikostyringsprocesser, herunder politikker for IKT-risikostyring, politik for IKT-driftsstabilitet og planer for IKT-indsats og -genopretning |
d) | forvaltningsordninger, herunder en organisatorisk struktur med en klar, gennemsigtig og konsekvent ansvarsfordeling og regler om ansvarliggørelse, som muliggør effektiv IKT-risikostyring |
e) | identifikation, overvågning og hurtig indberetning af væsentlige IKT-relaterede hændelser til de finansielle enheder samt håndtering og afvikling af disse hændelser, navnlig cyberangreb |
f) | mekanismer for dataportabilitet, applikationsportabilitet og interoperabilitet, som sikrer en effektiv udøvelse af opsigelsesrettighederne for de finansielle enheder |
g) | test af IKT-systemer, -infrastruktur og -kontrolfunktioner |
h) | IKT-revisioner |
i) | anvendelse af relevante nationale og internationale standarder, som gælder for levering af IKT-tjenester til finansielle enheder. |
- På grundlag af den i stk. 2 omhandlede vurdering og i samordning med det fælles tilsynsnetværk, der er omhandlet i artikel 34, stk. 1, vedtager den ledende tilsynsførende en klar, detaljeret og begrundet individuel tilsynsplan, der beskriver de årlige tilsynsmål og de vigtigste tilsynstiltag, der er planlagt for hver enkelt kritisk tredjepartsudbyder af IKT-tjenester. Denne plan skal hvert år meddeles den kritiske tredjepartsudbyder af IKT-tjenester.
Forud for vedtagelsen af tilsynsplanen skal den ledende tilsynsførende meddele udkastet til tilsynsplan til den kritiske tredjepartsudbyder af IKT-tjenester.
Efter modtagelsen af udkastet til tilsynsplan kan den kritiske tredjepartsudbyder af IKT-tjenester inden for 15 kalenderdage indsende en begrundet erklæring, der dokumenterer den forventede virkning på kunder, som er enheder, der ikke er omfattet af denne forordnings anvendelsesområde, og, hvis det er relevant, udarbejde løsninger til at afbøde risici.
- Når de i stk. 4 omhandlede årlige tilsynsplaner er blevet vedtaget og meddelt de kritiske tredjepartsudbydere af IKT-tjenester, kan de kompetente myndigheder kun træffe foranstaltninger, som vedrører sådanne kritiske tredjepartsudbydere af IKT-tjenester, efter aftale med den ledende tilsynsførende.
→ Fuld officiel tekst på EUR-Lex