5. Tras recibir la decisión a que se refiere el apartado 4 o, en su caso, el apartado 6, el prestador de servicios de alojamiento de datos informará a la autoridad competente de las medidas específicas que haya adoptado y que tiene intención de adoptar para cumplir los apartados 2 y 3. Lo hará en un plazo de tres meses a partir de la recepción de la decisión y anualmente con posterioridad. Esta obligación cesará una vez que la autoridad competente decida, a raíz de una solicitud con arreglo al apartado 7, que el prestador de servicios de alojamiento de datos ha dejado de estar expuesto a contenidos terroristas.