Άρθρο 42 Συνέχεια που δίνεται από τις αρμόδιες αρχές

1.   Εντός 60 ημερολογιακών ημερών από την παραλαβή των συστάσεων που εκδίδει ο κύριος εποπτικός φορέας σύμφωνα με το άρθρο 35 παράγραφος 1 στοιχείο δ), οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ είτε ενημερώνουν τον κύριο εποπτικό φορέα για την πρόθεσή τους να ακολουθήσουν τις συστάσεις είτε παρέχουν αιτιολογημένη εξήγηση για τη μη τήρηση των εν λόγω συστάσεων. Ο κύριος εποπτικός φορέας διαβιβάζει αμέσως τις πληροφορίες αυτές στις αρμόδιες αρχές των σχετικών χρηματοοικονομικών οντοτήτων.

2.   Ο κύριος εποπτικός φορέας δημοσιοποιεί το γεγονός ότι ένας κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ δεν ενημερώνει τον κύριο εποπτικό φορέα σύμφωνα με την παράγραφο 1 ή ότι η εξήγηση που παρέχεται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ δεν κρίνεται επαρκής. Οι πληροφορίες που δημοσιεύονται αποκαλύπτουν την ταυτότητα του κρίσιμου τρίτου παρόχου υπηρεσιών ΤΠΕ, καθώς και πληροφορίες σχετικά με το είδος και τη φύση της μη συμμόρφωσης. Οι πληροφορίες αυτές περιορίζονται σε ό,τι είναι σημαντικό και αναλογικό για τη διασφάλιση της ευαισθητοποίησης του κοινού, εκτός εάν η δημοσιοποίηση αυτή θα προκαλούσε δυσανάλογη ζημία στα εμπλεκόμενα μέρη ή θα μπορούσε να θέσει σε σοβαρό κίνδυνο την εύρυθμη λειτουργία και την ακεραιότητα των χρηματοοικονομικών αγορών ή τη σταθερότητα ολόκληρου ή μέρους του χρηματοοικονομικού συστήματος της Ένωσης.

Ο κύριος εποπτικός φορέας ενημερώνει τον τρίτο πάροχο υπηρεσιών ΤΠΕ σχετικά με την εν λόγω δημοσιοποίηση.

3.   Οι αρμόδιες αρχές ενημερώνουν τις σχετικές χρηματοοικονομικές οντότητες για τους κινδύνους που προσδιορίζονται στις συστάσεις που απευθύνονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ σύμφωνα με το άρθρο 35 παράγραφος 1 στοιχείο δ).

Κατά τη διαχείριση του κινδύνου τρίτων μερών ΤΠΕ, οι χρηματοοικονομικές οντότητες λαμβάνουν υπόψη τους κινδύνους που αναφέρονται στο πρώτο εδάφιο.

4.   Όταν μια αρμόδια αρχή κρίνει ότι μια χρηματοοικονομική οντότητα δεν λαμβάνει υπόψη ή δεν αντιμετωπίζει επαρκώς στο πλαίσιο της διαχείρισης του κινδύνου τρίτων μερών ΤΠΕ τους συγκεκριμένους κινδύνους που προσδιορίζονται στις συστάσεις, κοινοποιεί στη χρηματοοικονομική οντότητα την πιθανότητα να ληφθεί απόφαση, εντός 60 ημερολογιακών ημερών από την παραλαβή της εν λόγω κοινοποίησης, σύμφωνα με την παράγραφο 6, ελλείψει κατάλληλων συμβατικών ρυθμίσεων με στόχο την αντιμετώπιση των εν λόγω κινδύνων.

5.   Μετά την παραλαβή των αναφορών που προβλέπονται στο άρθρο 35 παράγραφος 1 στοιχείο γ) και πριν από τη λήψη της απόφασης όπως αναφέρεται στην παράγραφο 6 του παρόντος άρθρου, οι αρμόδιες αρχές μπορούν, σε προαιρετική βάση, να διαβουλεύονται με τις αρμόδιες αρχές οι οποίες έχουν οριστεί ή συσταθεί σύμφωνα με την οδηγία (ΕΕ) 2022/2555 και είναι υπεύθυνες για την εποπτεία μιας βασικής ή σημαντικής οντότητας που υπόκειται στις διατάξεις της εν λόγω οδηγίας και η οποία έχει οριστεί ως κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ.

6.   Οι αρμόδιες αρχές δύνανται, ως μέτρο έσχατης ανάγκης, μετά την κοινοποίηση και, κατά περίπτωση, τη διαβούλευση κατά τα οριζόμενα στις παραγράφους 4 και 5 του παρόντος άρθρου, σύμφωνα με το άρθρο 50, να λάβουν απόφαση με την οποία απαιτούν από τις χρηματοοικονομικές οντότητες να αναστείλουν προσωρινά, εν μέρει ή πλήρως, τη χρήση ή την ανάπτυξη μιας υπηρεσίας που παρέχεται από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ, έως ότου αντιμετωπιστούν οι κίνδυνοι που προσδιορίζονται στις συστάσεις που απευθύνονται σε κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ. Εάν κρίνεται σκόπιμο, μπορούν να ζητήσουν από τις χρηματοοικονομικές οντότητες να προβούν σε μερική ή ολική καταγγελία των σχετικών ρυθμίσεων που έχουν συναφθεί με τους κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ.

7.   Όταν ένας κρίσιμος τρίτος πάροχος υπηρεσιών ΤΠΕ αρνείται να εγκρίνει συστάσεις βασιζόμενος σε αποκλίνουσα προσέγγιση από εκείνη που συνιστά ο κύριος εποπτικός φορέας, και η εν λόγω αποκλίνουσα προσέγγιση μπορεί να επηρεάσει αρνητικά μεγάλο αριθμό χρηματοοικονομικών οντοτήτων ή σημαντικό μέρος του χρηματοοικονομικό τομέα, και οι μεμονωμένες προειδοποιήσεις που εκδίδονται από αρμόδιες αρχές δεν έχουν οδηγήσει σε συνεπείς προσεγγίσεις για τον μετριασμό του δυνητικού κινδύνου για τη χρηματοοικονομική σταθερότητα, ο κύριος εποπτικός φορέας μπορεί, κατόπιν διαβούλευσης με το φόρουμ εποπτείας, να εκδίδει μη δεσμευτικές και μη δημόσιες γνώμες προς τις αρμόδιες αρχές, προκειμένου να προωθήσει συνεπή και συγκλίνοντα εποπτικά μέτρα παρακολούθησης, κατά περίπτωση.

8.   Μετά την παραλαβή των εκθέσεων που αναφέρονται στο άρθρο 35 παράγραφος 1 στοιχείο γ), οι αρμόδιες αρχές, κατά τη λήψη απόφασης που προβλέπεται στην παράγραφο 6 του παρόντος άρθρου, λαμβάνουν υπόψη το είδος και το μέγεθος του κινδύνου που δεν αντιμετωπίστηκε από τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ, καθώς και τη σοβαρότητα της μη συμμόρφωσης, λαμβάνοντας υπόψη τα ακόλουθα κριτήρια:

Οι αρμόδιες αρχές παρέχουν στις χρηματοοικονομικές οντότητες το αναγκαίο χρονικό διάστημα, ώστε να μπορέσουν να προσαρμόσουν τις συμβατικές ρυθμίσεις με κρίσιμους τρίτους παρόχους υπηρεσιών ΤΠΕ, προκειμένου να αποφευχθούν οι αρνητικές επιπτώσεις στην ψηφιακή επιχειρησιακή ανθεκτικότητά τους και να μπορέσουν να αναπτύξουν στρατηγικές εξόδου και σχέδια μετάβασης όπως αναφέρονται στο άρθρο 28.

9.   Η απόφαση που αναφέρεται στην παράγραφο 6 του παρόντος άρθρου κοινοποιείται στα μέλη του φόρουμ εποπτείας που αναφέρεται στο άρθρο 32 παράγραφος 4 στοιχεία α), β) και γ) και στο ΔΚΕ.

Οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ που επηρεάζονται από τις αποφάσεις της παραγράφου 6 συνεργάζονται πλήρως με τις θιγόμενες χρηματοοικονομικές οντότητες, ιδίως στο πλαίσιο της διαδικασίας αναστολής ή καταγγελίας των συμβατικών τους ρυθμίσεων.

10.   Οι αρμόδιες αρχές ενημερώνουν τακτικά τον κύριο εποπτικό φορέα σχετικά με τις προσεγγίσεις και τα μέτρα που λαμβάνονται κατά την εκτέλεση των εποπτικών καθηκόντων τους σε σχέση με τις χρηματοοικονομικές οντότητες, καθώς και σε σχέση με τις συμβατικές ρυθμίσεις που έχουν συνάψει, σε περίπτωση που οι κρίσιμοι τρίτοι πάροχοι υπηρεσιών ΤΠΕ δεν έχουν εγκρίνει εν μέρει ή πλήρως τις συστάσεις που τους απηύθυνε ο κύριος εποπτικός φορέας.

11.   Ο κύριος εποπτικός φορέας μπορεί, κατόπιν αιτήματος, να παράσχει περαιτέρω διευκρινίσεις σχετικά με τις εκδοθείσες συστάσεις για να καθοδηγήσει τις αρμόδιες αρχές σχετικά με τα μέτρα παρακολούθησης.