Art. 38 Allmänna utredningar | DORA regulation | DORA

This article sits within the Oversight Framework for critical ICT third-party service providers and sets out the Lead Overseer's powers to conduct general investigations into those providers.

It builds directly on Article 35, which establishes the Lead Overseer's broader powers, and works in conjunction with Article 40, which governs the joint examination teams that assist in carrying out these investigations.

The article details a broad toolkit of investigatory powers available to the Lead Overseer, covering access to records, summoning representatives, interviewing third parties, and requesting communications data.

It also establishes procedural safeguards, including the requirement for written authorisation and advance notification to relevant competent authorities before an investigation begins.

Important points:

The Lead Overseer has the power to conduct investigations into critical ICT third-party service providers, including examining records, summoning representatives, interviewing third parties, and requesting telephone and data traffic records.
Critical ICT third-party service providers are required to submit to investigations ordered by a Lead Overseer decision, with periodic penalty payments applicable for non-compliance or incomplete responses.
The Lead Overseer is required to inform the competent authorities of relevant financial entities and the Joint Oversight Network of the envisaged investigation before it begins.

1. För att fullgöra sina uppgifter enligt denna förordning får den ledande tillsynsmyndigheten, med bistånd av den gemensamma undersökningsgrupp som avses i artikel 40.1, vid behov genomföra utredningar av kritiska tredjepartsleverantörer av IKT-tjänster.
1. Den ledande tillsynsmyndigheten ska ha befogenhet att
  1. granska handlingar, uppgifter, rutiner och allt annat material av relevans för utförandet av dess uppgifter oberoende av i vilken form de föreligger,
  2. ta eller erhålla bestyrkta kopior av, eller utdrag ur, sådana handlingar, uppgifter, dokumenterade förfaranden och allt annat material,
  3. kalla till sig företrädare för den kritiska tredjepartsleverantören av IKT-tjänster och be dem om muntliga eller skriftliga förklaringar angående sakförhållanden eller dokument som rör föremålet för och syftet med utredningen samt nedteckna svaren,
  4. höra varje annan fysisk eller juridisk person som går med på att höras i syfte att samla in information om föremålet för utredningen,
  5. begära in uppgifter om tele- och datatrafik.
1. De tjänstemän och andra personer som av den ledande tillsynsmyndigheten har bemyndigats att genomföra sådana utredningar som avses i punkt 1 ska utöva sina befogenheter mot uppvisande av ett skriftligt tillstånd där utredningens föremål och syfte anges.
2. I tillståndet ska även anges de viten som föreskrivs i artikel 35.6 om den dokumentation, de uppgifter, de dokumenterade förfaranden eller annat material som krävs eller svaren på frågor till företrädare för tredjepartsleverantören av IKT-tjänster inte tillhandahålls eller är ofullständiga.
1. Företrädarna för kritiska tredjepartsleverantörer av IKT-tjänster är skyldiga att underkasta sig utredningarna på grundval av ett beslut av den ledande tillsynsmyndigheten. Beslutet ska ange föremålet för och syftet med utredningen, de viten som föreskrivs i artikel 35.6, de rättsmedel som finns tillgängliga enligt förordningarna (EU) nr 1093/2010, (EU) nr 1094/2010 och (EU) nr 1095/2010 samt rätten att få beslutet prövat av domstolen.
1. Den ledande tillsynsmyndigheten ska i god tid innan utredningen inleds underrätta de behöriga myndigheterna för de finansiella entiteter som använder de IKT-tjänster som tillhandahålls av den kritiska tredjepartsleverantören av IKT-tjänster om den planerade utredningen och namnge de bemyndigade personerna.
2. Den ledande tillsynsmyndigheten ska underrätta det gemensamma tillsynsnätverket om all information som översänds enligt första stycket.

Artikel 38 Allmänna utredningar

Relevant recitals