Art. 3 Informations communiquées par des prestataires tiers critiques de services TIC après la formulation de recommandations | RTS on harmonisation for oversight conduct | DORA

This article establishes the follow-through mechanism after the Lead Overseer issues recommendations to a critical ICT third-party service provider.

It builds directly on the oversight process by requiring providers to translate those recommendations into a formal remediation plan and then demonstrate ongoing and final compliance with it.

The article creates a structured reporting loop between the critical ICT third-party service provider and the Lead Overseer, covering both the initial plan and subsequent evidence of its execution.

Important points:

Critical ICT third-party service providers must submit a remediation plan to the Lead Overseer, aligned with the timelines the Lead Overseer sets for each recommendation.
Upon request, provide interim progress reports with supporting documents showing how implementation is advancing within the defined timeline.
Upon request, provide a final report with supporting documents confirming the actions taken or remedies implemented in response to the recommendations received.

1. Le prestataire tiers critique de services TIC fournit au superviseur principal un rapport contenant un plan de mesures correctives concernant les recommandations et les solutions que le prestataire tiers critique de services TIC prévoit de mettre en œuvre afin d’atténuer les risques recensés dans les recommandations visées à l’article 35, paragraphe 1, point d), du règlement (UE) 2022/2254. Le rapport est conforme au calendrier fixé par le superviseur principal pour chaque recommandation.
1. Afin de permettre le suivi de la mise en œuvre des mesures prises ou des solutions mises en œuvre par le prestataire tiers critique de services TIC en ce qui concerne les recommandations reçues, le prestataire tiers critique de services TIC partage avec le superviseur principal, sur demande:
  1. les rapports d’avancement intermédiaires et les documents justificatifs connexes précisant l’état d’avancement de la mise en œuvre des mesures et solutions énoncées dans le rapport fourni par le prestataire tiers critique de services TIC au superviseur principal dans le délai défini par ce dernier;
  2. les rapports finaux et les documents justificatifs connexes précisant les mesures prises ou les solutions mises en œuvre par le prestataire tiers critique de services TIC afin d’atténuer les risques recensés dans les recommandations reçues.