4. På grundlag af den i stk. 2 omhandlede vurdering og i samordning med det fælles tilsynsnetværk, der er omhandlet i artikel 34, stk. 1, vedtager den ledende tilsynsførende en klar, detaljeret og begrundet individuel tilsynsplan, der beskriver de årlige tilsynsmål og de vigtigste tilsynstiltag, der er planlagt for hver enkelt kritisk tredjepartsudbyder af IKT-tjenester. Denne plan skal hvert år meddeles den kritiske tredjepartsudbyder af IKT-tjenester.
Forud for vedtagelsen af tilsynsplanen skal den ledende tilsynsførende meddele udkastet til tilsynsplan til den kritiske tredjepartsudbyder af IKT-tjenester.
Efter modtagelsen af udkastet til tilsynsplan kan den kritiske tredjepartsudbyder af IKT-tjenester inden for 15 kalenderdage indsende en begrundet erklæring, der dokumenterer den forventede virkning på kunder, som er enheder, der ikke er omfattet af denne forordnings anvendelsesområde, og, hvis det er relevant, udarbejde løsninger til at afbøde risici.