Art. 15 Méthodes spécifiques destinées à contrôler le respect de l’article 36 du règlement (UE) 2022/2065 relatif au mécanisme de réaction aux crises | Performance of independent audits | DSA

This article sets out the audit requirements specifically relating to crisis response obligations under Article 36 of Regulation (EU) 2022/2065, which deals with serious threats.

It directs the auditing organisation on what to examine when assessing whether an audited provider has properly fulfilled its crisis-related duties — covering the identification of contributing systems, the measures taken to address the threat, and the accuracy of reporting back to the Commission.

The article is closely tied to the Commission's formal decisions issued under Article 36, meaning the scope of the audit in this area can shift depending on what those decisions require.

Important points:

Auditing organisations are required to assess whether the audited provider correctly identified the systems contributing to a serious threat and whether that identification was appropriate.
Auditing organisations must evaluate whether the measures the audited provider took to prevent, eliminate, or limit the serious threat were effective and proportionate, and whether the impact on affected parties' rights, including fundamental rights, was assessed.
Auditing organisations must verify that the audited provider accurately reported the required information to the Commission in line with the relevant Commission decision.

1. L’évaluation du respect, par le fournisseur audité, de l’article 36, paragraphe 1, premier alinéa, point a), du règlement (UE) 2022/2065 comprend, sans s’y limiter, une analyse de la mesure et de la manière dans laquelle le fournisseur audité a entrepris les actions requises, et notamment:
  1. si et comment le fournisseur audité a identifié les systèmes pertinents participant au fonctionnement et à l’utilisation de son service qui contribuent de manière significative à une menace grave et si ces systèmes ont été correctement identifiés;
  2. si et comment le fournisseur audité a défini et surveillé la contribution significative à la menace grave et si son évaluation était appropriée;
  3. toute autre exigence spécifiée dans la décision de la Commission mentionnée à l’article 36, paragraphe 1, ou à l’article 36, paragraphe 7, deuxième alinéa, du règlement (UE) 2022/2065, selon le cas.
1. L’évaluation du respect, par le fournisseur audité, de l’article 36, paragraphe 1, premier alinéa, point b), du règlement (UE) 2022/2065 comprend, sans s’y limiter, une analyse de la mesure et de la manière dans laquelle le fournisseur audité a entrepris les actions requises, et notamment:
  1. si et comment le fournisseur audité a identifié des mesures visant à prévenir, éliminer ou limiter toute contribution à la menace grave;
  2. si et comment les mesures prises par le fournisseur audité correspondaient au caractère sérieux de la menace grave et à son urgence, et si lesdites mesures étaient appropriées à cet égard;
  3. si et comment le fournisseur audité a identifié les parties concernées par les mesures et leurs intérêts légitimes, et comment il a évalué l’impact réel ou potentiel des mesures sur les droits de ces parties, y compris leurs droits fondamentaux et leurs intérêts légitimes;
  4. si les mesures prises par le fournisseur audité étaient efficaces et proportionnées;
  5. toute autre exigence spécifiée dans la décision de la Commission mentionnée à l’article 36, paragraphe 1, ou à l’article 36, paragraphe 7, deuxième alinéa, du règlement (UE) 2022/2065, selon le cas.
1. L’évaluation du respect, par le fournisseur audité, de l’article 36, paragraphe 1, premier alinéa, point c), du règlement (UE) 2022/2065 comprend, sans s’y limiter, une analyse de la manière dont le fournisseur audité a entrepris l’action requise, et en particulier si le fournisseur audité a fourni à la Commission les informations requises dans la décision de la Commission mentionnée à l’article 36, paragraphe 1, ou à l’article 36, paragraphe 7, deuxième alinéa, du règlement (UE) 2022/2065, et si ces informations étaient exactes.