Art. 3 Information från kritiska tredjepartsleverantörer av IKT-tjänster efter utfärdandet av rekommendationer | RTS on harmonisation for oversight conduct | DORA

This article establishes the follow-through mechanism after the Lead Overseer issues recommendations to a critical ICT third-party service provider.

It builds directly on the oversight process by requiring providers to translate those recommendations into a formal remediation plan and then demonstrate ongoing and final compliance with it.

The article creates a structured reporting loop between the critical ICT third-party service provider and the Lead Overseer, covering both the initial plan and subsequent evidence of its execution.

Important points:

Critical ICT third-party service providers must submit a remediation plan to the Lead Overseer, aligned with the timelines the Lead Overseer sets for each recommendation.
Upon request, provide interim progress reports with supporting documents showing how implementation is advancing within the defined timeline.
Upon request, provide a final report with supporting documents confirming the actions taken or remedies implemented in response to the recommendations received.

1. Den kritiska tredjepartsleverantören av IKT-tjänster ska tillhandahålla den ledande tillsynsmyndigheten en rapport med en åtgärdsplan avseende de rekommendationer och avhjälpande åtgärder som den kritiska tredjepartsleverantören av IKT-tjänster planerar att genomföra för att minska de risker som identifieras i de rekommendationer som avses i artikel 35.1 d i förordning (EU) 2022/2254. Rapporten ska vara förenlig med den tidsfrist som fastställts av den ledande tillsynsmyndigheten för varje rekommendation.
1. För att göra det möjligt att övervaka de åtgärder eller avhjälpande åtgärder som den kritiska tredjepartsleverantören av IKT-tjänster har genomfört med anledning av de rekommendationer som den mottagit ska den kritiska tredjepartsleverantören av IKT-tjänster på begäran låta den ledande tillsynsmyndigheten ta del av följande:
  1. Lägesrapporter tillsammans med styrkande dokumentation som anger vilka framsteg som gjorts i genomförandet av de insatser och åtgärder som beskrivs i den rapport som den kritiska tredjepartsleverantören av IKT-produkter har lämnat till den ledande tillsynsmyndigheten inom den av denna myndighet fastställda tidsfristen.
  2. Slutrapporter tillsammans med styrkande dokumentation som anger vilka åtgärder eller avhjälpande åtgärder som har genomförts av den kritiska tredjepartsleverantören av IKT-tjänster för att minska de risker som identifieras i de mottagna rekommendationerna.