4. Cuando una autoridad competente considere que una entidad financiera no tiene en cuenta o no aborda suficientemente en su gestión del riesgo de terceros relacionado con las TIC los riesgos específicos señalados en las recomendaciones, notificará a la entidad financiera la posibilidad de adoptar una decisión, en el plazo de sesenta días naturales a partir de la recepción de dicha notificación, en virtud del apartado 6, en ausencia de disposiciones contractuales adecuadas destinadas a hacer frente a dichos riesgos.