8. Efter at have modtaget rapporterne omhandlet i artikel 35, stk. 1, litra c), tager de kompetente myndigheder, når de træffer en afgørelse som omhandlet i nærværende artikels stk. 6, hensyn til typen og omfanget af den risiko, som ikke imødegås af den kritiske tredjepartsudbyder af IKT-tjenester, samt alvoren af den manglende overholdelse, under hensyntagen til følgende kriterier:
|
a)
|
den manglende overholdelses grovhed og varighed
|
|
b)
|
hvorvidt den manglende overholdelse har afsløret alvorlige svagheder i de procedurer, de forvaltningssystemer, den risikostyring og de interne kontroller, som den kritiske tredjepartsudbyder af IKT-tjenester varetager
|
|
c)
|
om en økonomisk forbrydelse er blevet fremmet eller foranlediget af eller på anden måde kan tilskrives den manglende overholdelse
|
|
d)
|
hvorvidt den manglende overholdelse er forsætlig eller skyldes uagtsomhed
|
|
e)
|
hvorvidt suspensionen eller opsigelsen af de kontraktlige ordninger skaber en risiko for kontinuiteten af den finansielle enheds forretningsaktiviteter, uanset den finansielle enheds bestræbelser på at undgå afbrydelser af leveringen af dens tjenester
|
|
f)
|
når det er relevant, den udtalelse, som på frivillig basis i overensstemmelse med denne artikels stk. 5 er indhentet fra de kompetente myndigheder, der er udpeget eller oprettet i overensstemmelse med direktiv (EU) 2022/2555, og som har ansvar for tilsynet med en væsentlig eller vigtig enhed, der er omfattet af nævnte direktiv og er blevet udpeget som en kritisk tredjepartsudbyder af IKT-tjenester.
|
De kompetente myndigheder giver de finansielle enheder den nødvendige tid for dem til at tilpasse de kontraktlige ordninger med kritiske tredjepartsudbydere af IKT-tjenester for at undgå skadelige virkninger for deres digitale operationelle modstandsdygtighed og for dem til at indføre exitstrategier og overgangsplaner som omhandlet i artikel 28.