§ 9. IKT-tjenesteavtaler og håndtering av IKT-tredjepartsrisiko

DORA-forordningen kapittel V, del I (artiklene 28–30) om håndtering av IKT-tredjepartsrisiko gjelder tilsvarende så langt den passer, med tilpasningene som følger av andre og tredje ledd. DORA-forordningen artikkel 28 nr. 3 første avsnitt om register for IKT-tjenesteavtaler gjelder tilsvarende, men foretaket skal kun ha register på foretaksnivå («entity level»). Kommisjonens gjennomføringsforordning (EU) 2024/2956 gjelder ikke. Registeret over IKT-tjenesteavtaler skal minst inneholde følgende opplysninger: 1) leverandørens navn, organisasjonsnummer, LEI-nummer og EUID 2) en beskrivelse av typen IKT-tjenesteavtale 3) landet leverandøren har hovedkontor i 4) underleverandørers navn og organisasjonsnummer, samt landet underleverandøren har hovedkontor i 5) avtalens oppstarts- og opphørsdato eller opplysninger om at avtalen er rullerende 6) dato for siste risikovurdering av IKT-tjenesteavtalen. DORA-forordningen artikkel 28 nr. 3 femte avsnitt om melding om IKT-tjenesteavtaler gjelder tilsvarende så langt det passer. For eiendomsmeglingsforetak gjelder kravet bare når tjenesteleveransen skal benyttes for oppgjørsfunksjonen. For inkassoforetak gjelder kravet bare for foretak som er mellomstore, jf. DORA-forordningen artikkel 3 nr. 64, eller større. DORA-forordningen artikkel 42 om oppfølging av anbefalinger vedrørende kritiske IKT-tredjepartstilbydere gjelder tilsvarende så langt den passer.