8. Po obdržení zpráv uvedených v čl. 35 odst. 1 písm. c) příslušné orgány při přijímání rozhodnutí podle odstavce 6 tohoto článku zohlední druh a rozsah rizika, které kritický poskytovatel služeb IKT z řad třetích stran neodstranil, a rovněž závažnost porušení povinností, přičemž přihlédnou k těmto kritériím:
|
a)
|
závažnosti a délce trvání porušení předpisů;
|
|
b)
|
zda porušení předpisů odhalilo závažná slabá místa v postupech, řídicích systémech, řízení rizik a interních kontrolách kritického poskytovatele služeb IKT z řad třetích stran;
|
|
c)
|
zda porušení předpisů usnadnilo či umožnilo spáchání finančního trestného činu nebo zda lze takový trestný čin danému porušení jiným způsobem přičíst;
|
|
d)
|
zda k porušení předpisů došlo úmyslně nebo z nedbalosti;
|
|
e)
|
zda pozastavení nebo ukončení smluvních ujednání představuje riziko pro kontinuitu činnosti finančního subjektu, bez ohledu na snahu finančního subjektu vyhnout se narušení poskytování svých služeb;
|
|
f)
|
v příslušných případech, jak stanoví odstavec 5 tohoto článku, dobrovolně vyžádané stanovisko příslušných orgánů určených nebo zřízených v souladu se směrnicí (EU) 2022/2555, které jsou odpovědné za dohled nad zásadním nebo důležitým subjektem podléhajícím uvedené směrnici, který byl určen jako kritický poskytovatel služeb IKT z řad třetích stran.
|
Příslušné orgány poskytnou finančním subjektům nezbytnou lhůtu, aby mohly upravit smluvní ujednání s kritickými poskytovateli služeb IKT z řad třetích stran, a zabránit tak nepříznivým dopadům na jejich digitální provozní odolnost a zavést strategie ukončení smluvního vztahu a plány přechodu uvedené v článku 28.