Les entités financières tiennent compte de leur taille et de leur profil de risque global ainsi que de la nature, de l’ampleur et des facteurs d’augmentation ou de diminution de la complexité de leurs services, activités et opérations, y compris des éléments relatifs:
a) au type de services TIC qui soutiennent des fonctions critiques ou importantes couverts par l’accord contractuel entre l’entité financière et le prestataire tiers de services TIC;
b) au type de services TIC couverts par l’accord contractuel entre le prestataire tiers de services TIC et ses sous-traitants;
c) au lieu où exerce le sous-traitant de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci, ou à la localisation de sa société mère;
d) à la longueur et à la complexité de la chaîne des sous-traitants fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci utilisée par le prestataire tiers de services TIC;
e) à la nature des données partagées avec les sous-traitants de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci;
f) à la question de savoir si les services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci sont fournis par des sous-traitants situés dans un État membre ou dans un pays tiers, y compris le lieu où les services TIC sont effectivement fournis et le lieu où les données sont effectivement traitées et stockées;
g) à la question de savoir si les sous-traitants de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci appartiennent au même groupe que l’entité financière bénéficiaire de ces services;
h) à la question de savoir si les sous-traitants de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci sont agréés, enregistrés ou soumis à une surveillance ou à une supervision par une autorité compétente d’un État membre, ou sont soumis au cadre de supervision prévu au chapitre V, section II, du règlement (UE) 2022/2554;
i) à la question de savoir si les prestataires tiers de services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci sont agréés, enregistrés ou soumis à une surveillance ou à une supervision par une autorité de surveillance d’un pays tiers;
j) à la question de savoir si les services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci sont fournis par un seul sous-traitant d’un prestataire tiers de services TIC ou par un petit nombre d’entre eux;
k) à la question de savoir si la sous-traitance de services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci aurait une incidence sur la transférabilité de ces services TIC à un autre prestataire tiers de services TIC;
l) à l’incidence potentielle des perturbations sur la continuité et la disponibilité des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci fournis par le prestataire tiers de services TIC, lorsque ce dernier fait appel à un sous-traitant fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci.