8. Cuando se reciban los informes a que se refiere el artículo 35, apartado 1, letra c), las autoridades competentes, al tomar la decisión a que se refiere el apartado 6 del presente artículo, tendrán en cuenta el tipo y la magnitud del riesgo no abordado por el proveedor tercero esencial de servicios de TIC, así como la gravedad del incumplimiento, considerando los siguientes criterios:
|
a)
|
la gravedad y la duración del incumplimiento;
|
|
b)
|
si el incumplimiento ha puesto de manifiesto deficiencias graves en los procedimientos, los sistemas de gestión, la gestión de riesgos y los controles internos del proveedor tercero esencial de servicios de TIC;
|
|
c)
|
si el incumplimiento ha facilitado o provocado la comisión de un delito financiero o este último le es imputable de cualquier otro modo;
|
|
d)
|
si el incumplimiento ha sido cometido intencionadamente o por negligencia;
|
|
e)
|
si la suspensión o la terminación de los acuerdos contractuales supone un riesgo para la continuidad de las operaciones comerciales de la entidad financiera, pese a los esfuerzos de esta por evitar perturbaciones en la prestación de sus servicios;
|
|
f)
|
cuando proceda, el dictamen, solicitado voluntariamente de conformidad con el apartado 5 del presente artículo, de las autoridades competentes designadas o establecidas de conformidad con la Directiva (UE) 2022/2555, responsables de la supervisión de una entidad esencial o importante sujeta a dicha Directiva, que haya sido designada como proveedor tercero esencial de servicios de TIC.
|
Las autoridades competentes concederán a las entidades financieras el tiempo necesario para que puedan adaptar los acuerdos contractuales con proveedores terceros esenciales de servicios de TIC a fin de evitar efectos perjudiciales en su resiliencia operativa digital y que puedan implantar las estrategias de salida y los planes de transición a que se refiere el artículo 28.