42. cikk (4)

Amennyiben az illetékes hatóság úgy ítéli meg, hogy a pénzügyi szervezet nem veszi figyelembe vagy nem kezeli megfelelően a harmadik féltől eredő IKT-kockázat saját kezelésén belül az ajánlásokban azonosított konkrét kockázatokat, értesítenie kell a pénzügyi szervezetet annak lehetőségéről, hogy az ilyen kockázatok kezelését célzó megfelelő szerződéses megállapodások hiányában a (6) bekezdés alapján az ilyen értesítés kézhezvételétől számított 60 naptári napon belül határozatot hozzon.