art. 38 — DORA (rozporządzenie 2022/2554)

Dochodzenia ogólne

1. W celu wykonywania swoich obowiązków wynikających z niniejszego rozporządzenia wiodący organ nadzorczy, przy wsparciu wspólnego zespołu ds. kontroli, o którym mowa w art. 40 ust. 1, może, w razie potrzeby, prowadzić dochodzenia względem kluczowych zewnętrznych dostawców usług ICT.

2. Wiodący organ nadzorczy jest uprawniony do:

a) wglądu w dokumenty, dane, procedury i wszelkie inne materiały istotne z punktu widzenia realizacji swoich zadań, niezależnie od nośnika, na jakim są one przechowywane;

b) wykonania lub uzyskania uwierzytelnionych kopii lub wyciągów z takich dokumentów, danych, udokumentowanych procedur i z wszelkich innych materiałów;

c) wzywania przedstawicieli kluczowego zewnętrznego dostawcy usług ICT w celu złożenia przez nich ustnych lub pisemnych wyjaśnień na temat faktów lub dokumentów związanych z przedmiotem i celem dochodzenia oraz do zaprotokołowania odpowiedzi;

d) przesłuchiwania wszelkich innych osób fizycznych lub prawnych, które wyrażą na to zgodę, w celu zebrania informacji dotyczących przedmiotu dochodzenia;

e) żądania rejestrów połączeń telefonicznych i przesyłu danych.

3. Urzędnicy wiodącego organu nadzorczego i inne osoby upoważnione przez ten organ do prowadzenia dochodzeń, o których mowa w ust. 1, wykonują swoje uprawnienia po przedstawieniu pisemnego upoważnienia określającego przedmiot i cel dochodzenia.

W upoważnieniu tym wskazuje się również okresowe kary pieniężne przewidziane w art. 35 ust. 6, nakładane w przypadku, gdy wymagane dokumenty, dane, udokumentowane procedury lub inne materiały lub odpowiedzi na pytania zadane przedstawicielom zewnętrznego dostawcy usług ICT nie zostaną przekazane bądź udzielone lub są niepełne.

4. Przedstawiciele kluczowego zewnętrznego dostawcy usług ICT mają obowiązek poddać się dochodzeniom na mocy decyzji wiodącego organu nadzorczego. W decyzji określa się przedmiot i cel dochodzenia, okresowe kary pieniężne przewidziane w art. 35 ust. 6 i środki odwoławcze dostępne na mocy rozporządzenia (UE) nr 1093/2010, rozporządzenia (UE) nr 1094/2010 i rozporządzenia (UE) nr 1095/2010 oraz wskazuje się na prawo do zaskarżenia decyzji do Trybunału Sprawiedliwości.

5. Z odpowiednim wyprzedzeniem przed rozpoczęciem dochodzenia wiodący organ nadzorczy informuje organy właściwe dla podmiotów finansowych, które korzystają z usług danego kluczowego zewnętrznego dostawcy usług ICT, o planowanym dochodzeniu i o tożsamości upoważnionych osób.

Wiodący organ nadzorczy przekazuje wspólnej sieci nadzoru wszystkie informacje otrzymane zgodnie z akapitem pierwszym.