+Článek 35 Pravomoci hlavního orgánu dohledu
---+Článek 35 1
---+Článek 35 2
---+Článek 35 3
---+Článek 35 4
---+Článek 35 5
---+Článek 35 6
---+Článek 35 7
---+Článek 35 8
---+Článek 35 9
---+Článek 35 10
---+Článek 35 11

Článek 35 Pravomoci hlavního orgánu dohledu

-

1. Přehled

,
Článek 35 1

1.   Pro účely plnění povinností stanovených v tomto oddíle má hlavní orgán dohledu tyto pravomoci, pokud jde o kritické poskytovatele služeb IKT z řad třetích stran:

a)

požádat o veškeré relevantní informace a dokumentaci podle článku 37;

b)

provádět obecná šetření podle článku 38 a kontroly podle článku 39;

c)

po dokončení činností dohledu požadovat zprávy, v nichž je uvedeno, jaké kroky či jakou nápravu učinili kritičtí poskytovatelé služeb IKT z řad třetích stran v souvislosti s doporučeními uvedenými v písmenu d) tohoto odstavce;

d)

vydávat doporučení v oblastech uvedených v čl. 33 odst. 3, zejména pokud jde o:

i)

použití specifických požadavků či procesů v oblasti bezpečnosti a kvality IKT, zejména s ohledem na provádění dočasných oprav, aktualizací, šifrování a dalších bezpečnostních opatření, která hlavní orgán dohledu považuje za relevantní pro zajištění bezpečnosti služeb IKT poskytovaných finančním subjektům;

ii)

použití smluvních podmínek, včetně jejich technického provádění, za nichž kritičtí poskytovatelé služeb IKT z řad třetích stran poskytují tyto služby finančním subjektům a které hlavní orgán dohledu považuje za relevantní pro prevenci vzniku kritických míst, jejich rozšíření nebo pro minimalizaci možného systémového dopadu na celý finanční sektor Unie v případě rizika koncentrace IKT;

iii)

veškeré plánované subdodávky, pokud se hlavní orgán dohledu domnívá, že další subdodávky, včetně subdodavatelských ujednání, která kritičtí poskytovatelé služeb IKT z řad třetích stran hodlají uzavřít s poskytovateli služeb IKT z řad třetích stran nebo se subdodavateli IKT usazenými ve třetí zemi, mohou představovat rizika pro poskytování služeb finančním subjektem nebo ohrozit finanční stabilitu, a to na základě posouzení informací shromážděných v souladu s články 37 a 38;

iv)

neuzavírání dalších ujednání o subdodávkách, jsou-li splněny tyto kumulativní podmínky:

—

plánovaný subdodavatel je poskytovatelem služeb IKT z řad třetích stran nebo subdodavatelem IKT usazeným ve třetí zemi;

—

subdodávky se týkají zásadní nebo důležité funkce finančního subjektu, a

—

hlavní orgán dohledu se domnívá, že využívání takových subdodávek představuje jasné a závažné riziko pro finanční stabilitu Unie nebo pro finanční subjekty, včetně schopnosti finančních subjektů plnit požadavky v oblasti dohledu.

Pro účely bodu iv) tohoto písmene předají poskytovatelé služeb IKT z řad třetích stran hlavnímu orgánu dohledu informace týkající se subdodávek a použijí k tomu šablonu uvedenou v čl. 41 odst. 1 písm. b).
Článek 35 2

2.   Při výkonu pravomocí uvedených v tomto článku hlavní orgán dohledu:

a)

zajišťuje pravidelnou koordinaci v rámci společné sítě dohledu, a zejména v příslušných případech usiluje o jednotné přístupy, pokud jde o dohled nad kritickými poskytovateli služeb IKT z řad třetích stran;

b)

náležitě zohlední rámec stanovený směrnicí (EU) 2022/2555 a v případě potřeby konzultuje s relevantními příslušnými orgány určenými nebo zřízenými v souladu s uvedenou směrnicí, aby se zabránilo zdvojování technických a organizačních opatření, která by se mohla podle uvedené směrnice vztahovat na kritické poskytovatele služeb IKT z řad třetích stran;

c)

usiluje o co největší minimalizaci rizika narušení služeb poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran zákazníkům, kteří nejsou subjekty spadajícími do oblasti působnosti tohoto nařízení.
Článek 35 3

3.   Hlavní orgán dohledu před výkonem svých pravomocí podle odstavce 1 konzultuje fórum dohledu.

Před vydáním doporučení v souladu s odst. 1 písm. d) poskytne hlavní orgán dohledu poskytovateli služeb IKT z řad třetích stran příležitost poskytnout do 30 kalendářních dnů relevantní informace dokládající očekávaný dopad na zákazníky, kteří nejsou subjekty spadajícími do oblasti působnosti tohoto nařízení, a případně navrhovat řešení ke zmírnění rizik.
Článek 35 4

4.   Hlavní orgán dohledu informuje společnou síť dohledu o výsledku výkonu pravomocí uvedených v odst. 1 písm. a) a b). Hlavní orgán dohledu předá zprávy uvedené v odst. 1 písm. c) bez zbytečného odkladu společné síti dohledu a příslušným orgánům finančních subjektů využívajících služby IKT daného kritického poskytovatele služeb IKT z řad třetích stran.
Článek 35 5

5.   Kritičtí poskytovatelé služeb IKT z řad třetích stran v dobré víře spolupracují s hlavním orgánem dohledu a pomáhají mu při plnění jeho úkolů.
Článek 35 6

6.   Pokud kritický poskytovatel služeb IKT z řad třetích stran zcela nebo částečně neučiní opatření, která jsou od něj vyžadována v souvislosti s výkonem pravomocí podle odst. 1 písm. a), b) a c), přijme hlavní orgán dohledu po uplynutí lhůty nejméně 30 kalendářních dnů ode dne, kdy kritický poskytovatel služeb IKT z řad třetích stran obdržel oznámení o příslušných opatřeních, rozhodnutí o uložení penále, aby kritického poskytovatele služeb IKT z řad třetích stran přiměl daná opatření dodržovat.
Článek 35 7

7.   Penále uvedené v odstavci 6 se ukládá na denním základě, dokud není dosaženo souladu s danými opatřeními, avšak nejdéle po dobu šesti měsíců od vyrozumění kritického poskytovatele služeb IKT z řad třetích stran o rozhodnutí uložit penále.
Článek 35 8

8.   Výše penále vypočítaná ode dne uvedeného v rozhodnutí o uložení penále činí až 1 % průměrného denního celosvětového obratu kritického poskytovatele služeb IKT z řad třetích stran za předchozí účetní období. Při stanovení výše penále zohlední hlavní orgán dohledu tato kritéria týkající se nedodržení opatření uvedených v odstavci 6:

a)

závažnost a délku trvání nedodržování opatření;

b)

zda k nedodržení opatření došlo úmyslně nebo z nedbalosti;

c)

míru spolupráce poskytovatele služeb IKT z řad třetích stran s hlavním orgánem dohledu.

Pro účely prvního pododstavce vede hlavní orgán dohledu v zájmu zajištění jednotného přístupu konzultace se společnou sítí dohledu.
Článek 35 9

9.   Penále mají správní povahu a jsou vymahatelná. Výkon rozhodnutí se řídí předpisy občanského procesního práva toho členského státu, na jehož území se mají uskutečnit kontroly a přístup. Ohledně stížností souvisejících s nesprávným výkonem rozhodnutí jsou příslušné soudy dotčeného členského státu. Částky penále jsou příjmem souhrnného rozpočtu Evropské unie.
Článek 35 10

10.   Hlavní orgán dohledu zveřejní každé uložené penále, ledaže by toto zveřejnění vážně ohrozilo finanční trhy nebo způsobilo zúčastněným stranám nepřiměřenou škodu.
Článek 35 11

11.   Hlavní orgán dohledu před uložením penále podle odstavce 6 umožní zástupcům kritického poskytovatele služeb IKT z řad třetích stran, jehož se řízení týká, vyjádřit se k jeho zjištěním a svá rozhodnutí založí pouze na zjištěních, k nimž měl kritický poskytovatel služeb IKT z řad třetích stran, jehož se řízení týká, možnost se vyjádřit.

V průběhu řízení musí být plně respektováno právo účastníků řízení na obhajobu. Kritický poskytovatel služeb IKT z řad třetích stran, jehož se řízení týká, má právo nahlížet do spisu, s výhradou oprávněného zájmu jiných osob na ochraně jejich obchodního tajemství. Právo nahlížet do spisu se nevztahuje na důvěrné informace ani na interní přípravné dokumenty hlavního orgánu dohledu.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy