Art. 3 Informationen, die kritische IKT-Drittdienstleister nach Abgabe der Empfehlungen bereitstellen müssen | RTS on harmonisation for oversight conduct | DORA

This article establishes the follow-through mechanism after the Lead Overseer issues recommendations to a critical ICT third-party service provider.

It builds directly on the oversight process by requiring providers to translate those recommendations into a formal remediation plan and then demonstrate ongoing and final compliance with it.

The article creates a structured reporting loop between the critical ICT third-party service provider and the Lead Overseer, covering both the initial plan and subsequent evidence of its execution.

Important points:

Critical ICT third-party service providers must submit a remediation plan to the Lead Overseer, aligned with the timelines the Lead Overseer sets for each recommendation.
Upon request, provide interim progress reports with supporting documents showing how implementation is advancing within the defined timeline.
Upon request, provide a final report with supporting documents confirming the actions taken or remedies implemented in response to the recommendations received.

1. Der kritische IKT-Drittdienstleister legt der federführenden Überwachungsbehörde einen Bericht vor, der einen Plan mit Abhilfemaßnahmen in Bezug auf die Empfehlungen und die Abhilfemaßnahmen enthält, die der kritische IKT-Drittdienstleister umzusetzen beabsichtigt, um die in den Empfehlungen nach Artikel 35 Absatz 1 Buchstabe d der Verordnung (EU) 2022/2254 ermittelten Risiken zu mindern. Der Bericht muss mit den Fristen in Einklang stehen, die von der federführenden Überwachungsbehörde in den einzelnen Empfehlungen vorgegeben wurden.
1. Damit die Umsetzung der Maßnahmen oder Abhilfemaßnahmen, die der kritische IKT-Drittdienstleister im Zusammenhang mit den erhaltenen Empfehlungen ergriffen hat, überwacht werden kann, übermittelt der kritische IKT-Drittdienstleister der federführenden Überwachungsbehörde auf Anfrage folgende Unterlagen:
  1. Zwischenberichte über erzielte Fortschritte und entsprechende Nachweise, aus denen hervorgeht, welche Fortschritte bei der Umsetzung der in dem Bericht des kritischen IKT-Drittdienstleisters an die federführende Überwachungsbehörde beschriebenen Schritte und Maßnahmen innerhalb der von dieser vorgegebenen Fristen erzielt wurden,
  2. Abschlussberichte und entsprechende Nachweise, aus denen hervorgeht, welche Maßnahmen der kritische IKT-Drittdienstleister ergriffen oder welche Abhilfemaßnahmen er umgesetzt hat, um die in den erhaltenen Empfehlungen ermittelten Risiken zu mindern.