Art. 15 Särskilda metoder för att bedöma efterlevnaden av artikel 36 i förordning (EU) 2022/2065 om krisresponsmekanism | Performance of independent audits | DSA

This article sets out the audit requirements specifically relating to crisis response obligations under Article 36 of Regulation (EU) 2022/2065, which deals with serious threats.

It directs the auditing organisation on what to examine when assessing whether an audited provider has properly fulfilled its crisis-related duties — covering the identification of contributing systems, the measures taken to address the threat, and the accuracy of reporting back to the Commission.

The article is closely tied to the Commission's formal decisions issued under Article 36, meaning the scope of the audit in this area can shift depending on what those decisions require.

Important points:

Auditing organisations are required to assess whether the audited provider correctly identified the systems contributing to a serious threat and whether that identification was appropriate.
Auditing organisations must evaluate whether the measures the audited provider took to prevent, eliminate, or limit the serious threat were effective and proportionate, and whether the impact on affected parties' rights, including fundamental rights, was assessed.
Auditing organisations must verify that the audited provider accurately reported the required information to the Commission in line with the relevant Commission decision.

1. Bedömningen av efterlevnaden av artikel 36.1 första stycket led a i förordning (EU) 2022/2065 av den leverantör som är föremål för revision ska innehålla, men inte begränsas till, en analys av om och hur den leverantör som revisionen avser har utfört de åtgärder som krävs, i synnerhet följande:
  1. Om och hur den leverantör som revisionen avser har identifierat de berörda system som används för driften och användningen av dess tjänst som på ett betydande sätt bidrar till det allvarliga hotet samt om dessa system har identifierats på lämpligt vis.
  2. Om och hur den leverantör som revisionen avser har definierat och övervakat det betydande bidraget till det allvarliga hotet samt om denna bedömning har gjorts på lämpligt vis.
  3. Eventuella övriga krav som anges i det beslut som kommissionen får anta enligt artikel 36.1 eller 36.7 andra stycket i förordning (EU) 2022/2065, enligt vad som är lämpligt.
1. Bedömningen av hur den leverantör som revisionen avser efterlever artikel 36.1 första stycket led b i förordning (EU) 2022/2065 ska omfatta, men inte begränsas till, en analys av huruvida och hur denna leverantör har utfört de åtgärder som krävs, i synnerhet följande:
  1. Om och hur den leverantör som revisionen avser har fastställt åtgärder för att förebygga, undanröja eller begränsa bidrag till det allvarliga hotet.
  2. Om och hur de åtgärder som vidtagits av den leverantör som revisionen avser är tillräckliga för att hantera allvarlighetsgraden hos det allvarliga hotet och den brådskande karaktären samt om åtgärderna är ändamålsenliga i detta avseende.
  3. Om och hur den leverantör som revisionen avser har identifierat de parter som berörs av åtgärderna och deras legitima intressen, samt hur den leverantör som revisionen avser har bedömt de faktiska eller potentiella konsekvenserna av åtgärderna för dessa parters rättigheter, inbegripet grundläggande rättigheter, och legitima intressen.
  4. Huruvida de åtgärder som vidtagits av den leverantör som revisionen avser är effektiva och proportionella.
  5. Eventuella övriga krav som anges i det beslut som kommissionen får anta enligt artikel 36.1 eller 36.7 andra stycket i förordning (EU) 2022/2065, enligt vad som är lämpligt.
1. Bedömningen av efterlevnaden av artikel 36.1 första stycket led c i förordning (EU) 2022/2065 av den leverantör som är föremål för revision vilken ska omfatta, men inte begränsas till, en analys av hur den leverantör som revisionen avser har utfört de åtgärder som krävs, i synnerhet huruvida leverantören har tillhandahållit kommissionen de uppgifter som krävs enligt det beslut som kommissionen får anta enligt artikel 36.1 eller 36.7 andra stycket i förordning (EU) 2022/2065, och huruvida dessa rapporter är korrekta.