Piątek z DORA: Jakie kary finansowe dla kluczowych zewnętrznych dostawców usług ICT przewiduje DORA?

W celu prawidłowego nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT, Rozporządzenie 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (dalej jako „DORA” lub „Rozporządzenie”) uprawnia wiodący organ nadzorczy m.in. do:

a) występowania z wnioskiem o przekazanie wszystkich stosownych informacji i dokumentów (zgodnie z art. 37 DORA);

b) prowadzenia ogólnych dochodzeń i kontroli (zgodnie z art. 38 i 39 DORA);

c) występowania z wnioskiem o złożenie sprawozdań po zakończeniu działań nadzorczych, w których omówione są działania podjęte lub środki zaradcze wdrożone przez kluczowych zewnętrznych dostawców usług ICT (w związku z zaleceniami, o których mowa w art. 35 ust. 1 lit. d) DORA).

Jeśli kluczowy zewnętrzny dostawca usług ICT nie zastosuje się do środków, które należy podjąć w związku z wykonaniem uprawnień wskazanych w lit. a) – c) wyżej:

1. 1. 1. w całości lub w części, oraz
      2. po upływie co najmniej 30 dni kalendarzowych od dnia, w którym otrzymał od organu nadzorczego powiadomienie o odpowiednich środkach,

wiodący organ nadzorczy przyjmuje decyzję nakładającą okresową karę pieniężną, aby nakłonić kluczowego zewnętrznego dostawcę usług ICT do zastosowania się do tych środków.

Okresowa kara pieniężna:

• • • • jest nakładana za każdy dzień do czasu zastosowania się do środków i nie dłużej niż przez sześć miesięcy po powiadomieniu kluczowego zewnętrznego dostawcy usług ICT o decyzji nakładającej tę karę;
      • jej kwota (naliczana od dnia określonego w decyzji nakładającej okresową karę pieniężną) wynosi maksymalnie 1 % średniego dziennego światowego obrotu kluczowego zewnętrznego dostawcy usług ICT w poprzedzającym roku obrotowym;
      • ma charakter administracyjny i podlega egzekucji;
      • jest podawana do wiadomości publicznej – chyba że takie ujawnienie zagrażałoby poważnie rynkom finansowym lub wyrządziłoby nieproporcjonalną szkodę stronom, których dotyczy;
      • kluczowy dostawca usług ICT ma prawo do złożenia wyjaśnień w sprawie, w tym prawo dostępu do akt (z zastrzeżeniem poszanowania uzasadnionego interesu innych osób oraz ochrony tajemnicy przedsiębiorstwa).