欧盟数字运营韧性法案对 AI/ICT 第三方服务商的义务

合同须以书面单一文件载明双方权利义务并包含服务水平协议，且至少包含：所提供全部职能与 ICT 服务的清晰完整描述，注明是否允许对支持关键或重要职能的 ICT 服务（或其重要部分）进行分包及相应条件；提供合同或分包职能与服务的地区或国家、数据处理与存储地点，以及服务商拟变更这些地点时事前通知金融实体的要求；关于数据（含个人数据）保护的可用性、真实性、完整性与保密性条款；在服务商破产、处置、业务终止或合同终止时，以易于获取的格式访问、恢复与返还金融实体所处理的个人与非个人数据的条款；服务水平描述及其更新与修订；ICT 事件发生时服务商向金融实体提供协助且不额外收费或按事前确定成本收费的义务；服务商与金融实体的主管当局及处置当局（含其指定人员）全面合作的义务；终止权与相应最短通知期；服务商参与金融实体 ICT 安全意识计划与数字运营韧性培训的条件。

触发条件

向欧盟金融实体提供任何 ICT 服务的中国 AI/SaaS 服务商及其合同谈判团队。

做完之后应留存的证据

• · 符合第 30 条第 2 款的标准合同模板与条款对照表
• · 服务与职能清单、分包清单与分包条件说明
• · 数据处理与存储地点清单，以及变更事前通知流程
• · 数据可访问、可恢复、可返还的技术方案与演练记录
• · 事件协助的响应流程与成本约定文件

首次达标投入估算：15–45 人日（估算，非承诺）

对支持关键或重要职能的 ICT 服务，合同在第 2 款要素之外还须至少包含六项（第 30 条第 3 款（a）至（f）项）：（a）完整的服务水平描述，含定量与定性的精确绩效目标，使金融实体能有效监测服务并在未达约定服务水平时不延迟采取纠正措施；（b）服务商向金融实体的通知期限与报告义务，包括对其按约定服务水平有效提供支持关键或重要职能服务之能力可能产生重大影响的任何进展；（c）服务商实施并测试业务应急计划的要求，以及具备与金融实体监管框架相适应的适当安全水平的 ICT 安全措施、工具与政策；（d）服务商参与并全面配合金融实体按第 26、27 条开展的威胁引导渗透测试（TLPT）的义务；（e）持续监测服务商表现的权利，包括金融实体或其指定第三方以及主管当局不受限制的访问、检查与审计权（并可在现场复制对服务商运营至关重要的相关文件，且该权利不得被其他合同安排或实施政策阻碍或限制）、在影响其他客户权利时约定替代保证水平的权利、服务商在现场检查与审计中全面配合的义务，以及就检查审计的范围、程序与频率提供细节的义务；（f）退出策略，特别是设定强制性的适当过渡期，使服务商在过渡期内继续提供相应职能或 ICT 服务，并使金融实体能迁移至其他服务商或转为自建方案。对微型企业金融实体，（e）项的访问、检查与审计权可经约定委托给服务商指定的独立第三方。AI 服务商尤其要注意两点：模型或依赖组件的重大变更、供应商的产能与许可变化，通常都落入（b）项“可能产生重大影响的进展”；而（e）（f）两项直接决定审计配合成本与退出条款谈判空间，不能在报价阶段被忽略。

触发条件

其服务被金融客户认定为支持关键或重要职能的 AI 服务商（例如实时反欺诈决策、支付风控、核心风控模型）。

做完之后应留存的证据

• · 定量与定性绩效目标定义与月度达成报告
• · 重大影响事项的通知清单、触发标准与通知记录
• · 业务应急计划文本与演练报告
• · ICT 安全措施、工具与政策文件（与客户监管框架的映射）
• · 未达服务水平时的纠正措施台账
• · 审计与现场检查配合方案（范围、程序、频率，含替代保证水平的适用条件）
• · 威胁引导渗透测试（TLPT）参与与配合记录
• · 退出策略与过渡期服务承诺（迁移方案、数据返还、最短过渡时长）

首次达标投入估算：20–60 人日（估算，非承诺）

金融实体须在实体层面以及次合并与合并层面，维护并更新涵盖全部 ICT 第三方服务商所提供 ICT 服务合同安排的信息登记册，并应主管当局要求提供完整登记册或指定部分，以及任何为有效监管所需的其他信息。服务商的实际义务是持续提供并更新填报所需字段（法人识别、服务描述、职能关键性、分包链、地点、服务水平等），并在信息变更时主动同步，否则会直接导致客户报送不合规。

触发条件

所有向欧盟金融实体提供 ICT 服务的服务商，包括集团内提供服务的关联实体。

做完之后应留存的证据

• · 登记册字段清单与内部数据来源映射
• · 向金融客户提供登记册信息的记录与更新时间戳
• · 分包链信息与分包商变更通知记录
• · 法人识别信息与集团架构说明

首次达标投入估算：8–25 人日（估算，非承诺）

第 31 条第 12 款规定：对设立于第三国并按第 31 条第 1 款（a）项被指定为关键的 ICT 第三方服务商，金融实体只有在其于指定后 12 个月内已在欧盟设立子公司的情况下，方可继续使用其服务。条例序言同时说明，设立子公司的要求并不妨碍关键 ICT 第三方服务商从欧盟境外的设施与基础设施提供 ICT 服务与相关技术支持，本条例也不施加数据本地化义务。中国服务商若具备被指定的规模与集中度特征，须提前做好欧盟实体设立、人员配置与监督配合的预案。

触发条件

在欧盟金融业规模较大、集中度较高的中国云、算力或 AI 平台服务商；被指定与否由欧洲监管局按第 31 条判断。

时限：被指定为关键后 12 个月内

做完之后应留存的证据

• · 欧盟实体设立预案（公司形式、注册地、时间表、成本）
• · 欧盟实体的职能、人员与授权范围说明
• · 与监督框架配合的接口人、流程与文件准备
• · 客户合同中关于指定情形的过渡与配合条款

首次达标投入估算：30–120 人日（估算，非承诺）