DORA – Άρθρο 35 Εξουσίες του κύριου εποπτικού φορέα

Άρθρο 35 1

1. Για τους σκοπούς της εκτέλεσης των καθηκόντων που προβλέπονται στο παρόν τμήμα, ο κύριος εποπτικός φορέας διαθέτει τις ακόλουθες εξουσίες όσον αφορά τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ:

α)	να ζητεί όλες τις σχετικές πληροφορίες και τα έγγραφα τεκμηρίωσης σύμφωνα με το άρθρο 37,

β)	να διενεργεί γενικές έρευνες και επιθεωρήσεις σύμφωνα με τα άρθρα 38 και 39, αντίστοιχα,

γ)	να ζητεί την υποβολή εκθέσεων μετά την ολοκλήρωση των εποπτικών δραστηριοτήτων, στις οποίες προσδιορίζονται οι ενέργειες που υλοποίησαν ή τα διορθωτικά μέτρα που έλαβαν οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ όσον αφορά τις συστάσεις που αναφέρονται στο στοιχείο δ) της παρούσας παραγράφου,

δ)

να διατυπώνει συστάσεις για τους τομείς που αναφέρονται στο άρθρο 33 παράγραφος 3, ιδίως όσον αφορά τα ακόλουθα:

i)

τη χρήση συγκεκριμένων απαιτήσεων ή διαδικασιών ασφάλειας και ποιότητας ΤΠΕ, ιδίως όσον αφορά τη σταδιακή υλοποίηση ενημερώσεων κώδικα, επικαιροποιήσεων, κρυπτογράφησης και άλλων μέτρων ασφάλειας τα οποία ο κύριος εποπτικός φορέας θεωρεί συναφή για τη διασφάλιση της ασφάλειας των υπηρεσιών ΤΠΕ που παρέχονται στις χρηματοοικονομικές οντότητες,

ii)

τη χρήση όρων και προϋποθέσεων, συμπεριλαμβανομένης της τεχνικής εφαρμογής τους, σύμφωνα με τις οποίες οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ παρέχουν υπηρεσίες ΤΠΕ σε χρηματοοικονομικές οντότητες, τις οποίες ο κύριος εποπτικός φορέας θεωρεί συναφείς για την αποτροπή της δημιουργίας μοναδικών σημείων αποτυχίας, ή την ενίσχυσή τους, ή για την ελαχιστοποίηση των πιθανών συστημικών επιπτώσεων στον χρηματοοικονομικό τομέα της Ένωσης σε περίπτωση κινδύνου συγκέντρωσης ΤΠΕ,

iii)

κάθε προγραμματισμένη υπεργολαβία, όταν ο κύριος εποπτικός φορέας θεωρεί ότι η περαιτέρω υπεργολαβία, συμπεριλαμβανομένων των ρυθμίσεων υπεργολαβικής ανάθεσης τις οποίες οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ προγραμματίζουν να συνάψουν με άλλους τρίτους παρόχους υπηρεσιών ΤΠΕ ή με υπεργολάβους ΤΠΕ εγκατεστημένους σε τρίτη χώρα, ενδέχεται να ενεργοποιήσει κινδύνους όσον αφορά την παροχή υπηρεσιών από τη χρηματοοικονομική οντότητα ή κινδύνους για τη χρηματοοικονομική σταθερότητα, βάσει της εξέτασης των πληροφοριών που συλλέγονται σύμφωνα με τα άρθρα 37 και 38,

iv)

την αποτροπή σύναψης περαιτέρω ρύθμισης υπεργολαβίας, εφόσον πληρούνται οι ακόλουθες σωρευτικές προϋποθέσεις:

—	ο προβλεπόμενος υπεργολάβος είναι τρίτος πάροχος υπηρεσιών ΤΠΕ ή υπεργολάβος ΤΠΕ εγκατεστημένος σε τρίτη χώρα,

—	η υπεργολαβία αφορά κρίσιμη ή σημαντική λειτουργία της χρηματοοικονομικής οντότητας και

—

ο κύριος εποπτικός φορέας θεωρεί ότι η χρήση της εν λόγω υπεργολαβίας ενέχει σαφή και σοβαρό κίνδυνο για τη χρηματοοικονομική σταθερότητα της Ένωσης ή για τις χρηματοοικονομικές οντότητες, συμπεριλαμβανομένης της ικανότητας των χρηματοοικονομικών οντοτήτων να συμμορφώνονται με τις εποπτικές απαιτήσεις.

Για τους σκοπούς του σημείου iv) του παρόντος στοιχείου, οι τρίτοι πάροχοι υπηρεσιών ΤΠΕ, χρησιμοποιώντας το υπόδειγμα που προβλέπεται στο άρθρο 41 παράγραφος 1 στοιχείο β), διαβιβάζουν τις πληροφορίες σχετικά με την υπεργολαβία στον κύριο εποπτικό φορέα.

Άρθρο 35 2

2. Κατά την άσκηση των εξουσιών που αναφέρονται στο παρόν άρθρο, ο κύριος εποπτικός φορέας:

α)	διασφαλίζει τον τακτικό συντονισμό εντός του ΔΚΕ και, ειδικότερα, επιδιώκει συνεκτικές προσεγγίσεις, κατά περίπτωση, όσον αφορά την εποπτεία κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ,

β)

λαμβάνει δεόντως υπόψη το πλαίσιο που θεσπίζεται με την οδηγία (ΕΕ) 2022/2555 και, όπου κρίνεται αναγκαίο, διαβουλεύεται με τις σχετικές αρμόδιες αρχές που ορίζονται ή συστήνονται σύμφωνα με την εν λόγω οδηγία, προκειμένου να αποφευχθεί η επικάλυψη τεχνικών και οργανωτικών μέτρων που ενδέχεται να εφαρμόζονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ σύμφωνα με την εν λόγω οδηγία,

γ)	επιδιώκει να ελαχιστοποιήσει, στο μέτρο του δυνατού, τον κίνδυνο διαταραχής των υπηρεσιών που παρέχονται από κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ σε πελάτες που είναι οντότητες οι οποίες δεν εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού.

Άρθρο 35 3

3. Ο κύριος εποπτικός φορέας ζητεί τη γνώμη του φόρουμ εποπτείας πριν από την άσκηση των εξουσιών που αναφέρονται στην παράγραφο 1.

Πριν από τη διατύπωση συστάσεων σύμφωνα με την παράγραφο 1 στοιχείο δ), ο κύριος εποπτικός φορέας δίνει στον τρίτο πάροχο υπηρεσιών ΤΠΕ την ευκαιρία να παράσχει, εντός 30 ημερολογιακών ημερών, σχετικές πληροφορίες που αποδεικνύουν τον αναμενόμενο αντίκτυπο στους πελάτες που είναι οντότητες οι οποίες δεν εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού, διατυπώνοντας, κατά περίπτωση, λύσεις για τον μετριασμό των κινδύνων.

Άρθρο 35 4

4. Ο κύριος εποπτικός φορέας ενημερώνει το ΔΚΕ για το αποτέλεσμα της άσκησης των εξουσιών που αναφέρονται στην παράγραφο 1 στοιχεία α) και β). Ο κύριος εποπτικός φορέας διαβιβάζει, χωρίς αδικαιολόγητη καθυστέρηση, τις εκθέσεις που αναφέρονται στην παράγραφο 1 στοιχείο γ), στο ΔΚΕ και στις αρμόδιες αρχές των χρηματοοικονομικών οντοτήτων που χρησιμοποιούν τις υπηρεσίες ΤΠΕ του εν λόγω κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ.

Άρθρο 35 5

5. Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ συνεργάζονται καλόπιστα με τον κύριο εποπτικό φορέα και του παρέχουν τη συνδρομή τους κατά την εκπλήρωση των καθηκόντων του.

Άρθρο 35 6

6. Σε περίπτωση ολικής ή μερικής μη συμμόρφωσης με τα μέτρα που απαιτείται να ληφθούν σύμφωνα με την εκτέλεση των εξουσιών δυνάμει της παραγράφου 1 στοιχεία α), β) και γ), και μετά την εκπνοή περιόδου τουλάχιστον 30 ημερολογιακών ημερών από την ημερομηνία κατά την οποία ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ έλαβε κοινοποίηση των αντίστοιχων μέτρων, ο κύριος εποπτικός φορέας εκδίδει απόφαση με την οποία επιβάλλει περιοδική χρηματική ποινή για να υποχρεώσει τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ να συμμορφωθεί με τα εν λόγω μέτρα.

Άρθρο 35 7

7. Η περιοδική χρηματική ποινή που αναφέρεται στην παράγραφο 6 επιβάλλεται σε ημερήσια βάση έως ότου επιτευχθεί συμμόρφωση και για μέγιστο διάστημα έξι μηνών από την κοινοποίηση της απόφασης επιβολής περιοδικής χρηματικής ποινής στον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ.

Άρθρο 35 8

8. Το ύψος της περιοδικής χρηματικής ποινής, το οποίο υπολογίζεται από την ημερομηνία που ορίζεται στην απόφαση επιβολής της περιοδικής χρηματικής ποινής, ανέρχεται έως το 1 % του μέσου ημερήσιου κύκλου εργασιών που πραγματοποίησε παγκοσμίως ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ κατά την προηγούμενη χρήση. Κατά τον καθορισμό του ποσού της χρηματικής ποινής, ο κύριος εποπτικός φορέας λαμβάνει υπόψη τα ακόλουθα κριτήρια όσον αφορά τη μη συμμόρφωση με τα μέτρα που αναφέρονται στην παράγραφο 6:

α)	τη βαρύτητα και τη διάρκεια της μη συμμόρφωσης,

β)	αν η μη συμμόρφωση τελέστηκε εκ προθέσεως ή εξ αμελείας,

γ)	το επίπεδο συνεργασίας του τρίτου παρόχου υπηρεσιών ΤΠΕ με τον κύριο εποπτικό φορέα.

Για τους σκοπούς του πρώτου εδαφίου, προκειμένου να διασφαλιστεί συνεκτική προσέγγιση, ο κύριος εποπτικός φορέας προβαίνει σε διαβούλευση στο πλαίσιο του ΔΚΕ.

Άρθρο 35 9

9. Οι χρηματικές ποινές έχουν διοικητικό χαρακτήρα και είναι εκτελεστές. Η εκτέλεση διέπεται από τους κανόνες της πολιτικής δικονομίας που ισχύουν στο κράτος μέλος στο οποίο πραγματοποιούνται οι επιθεωρήσεις και η πρόσβαση. Τα δικαστήρια του οικείου κράτους μέλους είναι αρμόδια για καταγγελίες που αφορούν την παράτυπη διενέργεια της εκτέλεσης. Τα ποσά των χρηματικών ποινών διοχετεύονται στον γενικό προϋπολογισμό της Ευρωπαϊκής Ένωσης.

Άρθρο 35 10

10. Ο κύριος εποπτικός φορέας δημοσιοποιεί κάθε περιοδική χρηματική ποινή που έχει επιβληθεί, εκτός εάν η εν λόγω δημοσιοποίηση θέτει σε σοβαρό κίνδυνο τις χρηματοοικονομικές αγορές ή προκαλεί δυσανάλογη ζημία στα εμπλεκόμενα μέρη.

Άρθρο 35 11

11. Πριν από την επιβολή περιοδικής χρηματικής ποινής σύμφωνα με την παράγραφο 6, ο κύριος εποπτικός φορέας παρέχει στους εκπροσώπους του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ που υπόκειται στην πειθαρχική διαδικασία, τη δυνατότητα να εκθέσουν την άποψή τους σχετικά με τα ευρήματα και στηρίζει τις αποφάσεις του μόνο σε ευρήματα για τα οποία είχε την ευκαιρία να διατυπώσει παρατηρήσεις ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ που υπόκειται στην πειθαρχική διαδικασία.

Κατά τη διεξαγωγή της διαδικασίας διασφαλίζονται πλήρως τα δικαιώματα υπεράσπισης των προσώπων που υπόκεινται σε πειθαρχικές διαδικασίες. Ο κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ που υπόκειται στην εν λόγω διαδικασία έχει δικαίωμα πρόσβασης στον φάκελο, με την επιφύλαξη του έννομου συμφέροντος άλλων προσώπων για την προστασία του επιχειρηματικού απορρήτου τους. Το δικαίωμα πρόσβασης στον φάκελο δεν καλύπτει τις εμπιστευτικές πληροφορίες ή τα προπαρασκευαστικά έγγραφα εσωτερικής χρήσης του κύριου εποπτικού φορέα.

Άρθρο 35 Εξουσίες του κύριου εποπτικού φορέα

1. Επισκόπηση

1.1 Παραπομπές

1.2 Εντοπισμένες απαιτήσεις

1.3 Σχετικά πρότυπα

2. Εντοπισμένες απαιτήσεις

3. Σχετικά πρότυπα