Artykuł 40

1. Przy przeprowadzaniu działań nadzorczych, w szczególności dochodzeń ogólnych lub kontroli, wiodący organ nadzorczy jest wspierany przez wspólny zespół ds. kontroli ustanowiony dla każdego z kluczowych zewnętrznych dostawców usług ICT.

2. Wspólny zespół ds. kontroli, o którym mowa w ust. 1, składa się z pracowników:

a) EUN;

b) odpowiednich właściwych organów nadzorujących podmioty finansowe, na rzecz których kluczowy zewnętrzny dostawca usług ICT świadczy usługi;

c) na zasadzie dobrowolności – krajowego właściwego organu, o którym mowa w art. 32 ust. 4 lit. e);

d) na zasadzie dobrowolności – jednego z krajowych właściwych organów państwa członkowskiego, w którym dany kluczowy zewnętrzny dostawca usług ICT ma siedzibę.

Członkowie wspólnego zespołu badawczego mają wiedzę fachową z zakresu ICT i ryzyka operacyjnego. Prace wspólnego zespołu ds. kontroli podlegają koordynacji wyznaczonego pracownika wiodącego organu nadzorczego („koordynator wiodącego organu nadzorczego”).

3. W terminie trzech miesięcy od zakończenia dochodzenia lub kontroli wiodący organ nadzorczy, po konsultacji z forum nadzoru, przyjmuje zalecenia, które mają być skierowane do kluczowego zewnętrznego dostawcy usług ICT zgodnie z uprawnieniami, o których mowa w art. 35.

4. Zalecenia, o których mowa w ust. 3, bezzwłocznie przekazuje się kluczowemu zewnętrznemu dostawcy usług ICT oraz organom właściwym dla podmiotów finansowych, na rzecz których dostawca ten świadczy usługi ICT.

Do celów wykonania działań nadzorczych wiodący organ nadzorczy może uwzględnić wszelkie stosowne certyfikaty wydane przez stronę trzecią oraz sprawozdania z wewnętrznych lub zewnętrznych audytów dotyczących usług ICT świadczonych przez stronę trzecią udostępnione przez kluczowego zewnętrznego dostawcę usług ICT.