Článek 42 Následná opatření příslušných orgánů

1.   Kritičtí poskytovatelé služeb IKT z řad třetích stran do 60 kalendářních dnů od obdržení doporučení vydaných hlavním orgánem dohledu podle čl. 35 odst. 1 písm. d) buď oznámí hlavnímu orgánu dohledu svůj úmysl se těmito doporučeními řídit, nebo poskytnou odůvodněné vysvětlení, proč se těmito doporučeními řídit nebudou. Hlavní orgán dohledu tyto informace neprodleně předá příslušným orgánům dotčených finančních subjektů.

2.   Hlavní orgán dohledu zveřejní, jestliže mu kritický poskytovatel služeb IKT z řad třetích stran neoznámí svůj úmysl podle odstavce 1 nebo jestliže nepovažuje vysvětlení poskytnuté kritickým poskytovatelem služeb IKT z řad třetích stran za dostatečné. Zveřejněné informace zahrnují totožnost kritického poskytovatele služeb IKT z řad třetích stran, jakož i informace o druhu a povaze porušení. Tyto informace se omezí na to, co je relevantní a přiměřené pro účely zajištění informovanosti veřejnosti, ledaže by jejich zveřejnění mohlo zúčastněným stranám způsobit nepřiměřenou škodu nebo by mohlo vážně ohrozit řádné fungování a integritu finančních trhů nebo stabilitu celého finančního systému Unie nebo jeho části.

Hlavní orgán dohledu o tomto zveřejnění informuje poskytovatele služeb IKT z řad třetích stran.

3.   Příslušné orgány informují příslušné finanční subjekty o rizicích identifikovaných v doporučeních adresovaných kritickým poskytovatelům služeb IKT z řad třetích stran v souladu s čl. 35 odst. 1 písm. d).

Při řízení rizika v oblasti IKT spojeného se třetími stranami finanční subjekty zohlední rizika uvedená v prvním pododstavci.

4.   Pokud se příslušný orgán domnívá, že finanční subjekt v rámci svého řízení rizika v oblasti IKT spojeného se třetími stranami nezohledňuje nebo dostatečně neřeší konkrétní rizika identifikovaná v doporučeních, upozorní finanční subjekt na možnost přijmout do 60 kalendářních dnů od tohoto upozornění rozhodnutí podle odstavce 6, pokud neexistují vhodná smluvní ujednání zaměřená na řešení těchto rizik.

5.   Po obdržení zpráv uvedených v čl. 35 odst. 1 písm. c) a před přijetím rozhodnutí uvedeného v odstavci 6 tohoto článku mohou příslušné orgány dobrovolně konzultovat příslušné orgány určené nebo zřízené v souladu se směrnicí (EU) 2022/2555, které jsou odpovědné za dohled nad zásadním nebo důležitým subjektem podléhajícím uvedené směrnici, který byl určen jako kritický poskytovatel služeb IKT z řad třetích stran.

6.   Příslušné orgány mohou jako krajní opatření v návaznosti na upozornění a případně konzultaci podle odstavců 4 a 5 tohoto článku přijmout v souladu s článkem 50 rozhodnutí vyžadující, aby finanční subjekty částečně či úplně dočasně přestaly využívat služby poskytované kritickým poskytovatelem služeb IKT z řad třetích stran, dokud daný kritický poskytovatel služeb IKT z řad třetích stran neodstraní rizika identifikovaná v jemu adresovaných doporučeních. Je-li to nezbytné, mohou finanční subjekty požádat, aby zcela či zčásti ukončily příslušná smluvní ujednání uzavřená s dotčenými kritickými poskytovateli služeb IKT z řad třetích stran.

7.   Pokud kritický poskytovatel služeb IKT z řad třetích stran odmítne uznat doporučení, protože zaujal odlišný přístup od přístupu doporučeného hlavním orgánem dohledu, a tento odlišný přístup může mít nepříznivý dopad na velký počet finančních subjektů nebo na významnou část finančního sektoru a individuální varování vydaná příslušnými orgány nevedla k jednotným přístupům, jež by zmírnily potenciální riziko pro finanční stabilitu, může hlavní orgán dohledu po konzultaci s fórem dohledu vydat nezávazné a neveřejné stanovisko určené příslušným orgánům, aby případně podpořil jednotná a konvergentní následná opatření v oblasti dohledu.

8.   Po obdržení zpráv uvedených v čl. 35 odst. 1 písm. c) příslušné orgány při přijímání rozhodnutí podle odstavce 6 tohoto článku zohlední druh a rozsah rizika, které kritický poskytovatel služeb IKT z řad třetích stran neodstranil, a rovněž závažnost porušení povinností, přičemž přihlédnou k těmto kritériím:

Příslušné orgány poskytnou finančním subjektům nezbytnou lhůtu, aby mohly upravit smluvní ujednání s kritickými poskytovateli služeb IKT z řad třetích stran, a zabránit tak nepříznivým dopadům na jejich digitální provozní odolnost a zavést strategie ukončení smluvního vztahu a plány přechodu uvedené v článku 28.

9.   Rozhodnutí podle odstavce 6 tohoto článku se oznámí členům fóra dohledu uvedeného v čl. 32 odst. 4 písm. a) b) a c) a společné síti dohledu.

Kritičtí poskytovatelé služeb IKT z řad třetích stran, jichž se týkají rozhodnutí podle odstavce 6, plně spolupracují s dotčenými finančními subjekty, zejména v souvislosti s procesem pozastavení nebo ukončení jejich smluvních ujednání.

10.   Příslušné orgány pravidelně informují hlavní orgán dohledu o přístupech a opatřeních přijatých v rámci jejich úkolů v oblasti dohledu ve vztahu k finančním subjektům a rovněž o smluvních ujednáních uzavřených finančními subjekty v případech, kdy kritičtí poskytovatelé služeb IKT z řad třetích stran zcela či zčásti neuznaly doporučení hlavního orgánu dohledu.

11.   Hlavní orgán dohledu může na žádost poskytnout další vysvětlení k vydaným doporučením, aby příslušným orgánům poskytl vodítko pro následná opatření.