Artykuł 3

1. Kluczowy zewnętrzny dostawca usług ICT przekazuje wiodącemu organowi nadzorczemu sprawozdanie zawierające plan naprawczy w odniesieniu do zaleceń oraz środki zaradcze, które kluczowy zewnętrzny dostawca usług ICT planuje wdrożyć w celu ograniczenia ryzyka zidentyfikowanego w zaleceniach, o których mowa w art. 35 ust. 1 lit. d) rozporządzenia (UE) 2022/2254. Sprawozdanie to musi być zgodne z harmonogramem określonym przez wiodący organ nadzorczy dla każdego zalecenia.

2. Aby umożliwić monitorowanie realizacji działań podjętych przez kluczowego zewnętrznego dostawcę usług ICT lub środków zaradczych wdrożonych przez niego w związku z otrzymanymi zaleceniami, kluczowy zewnętrzny dostawca usług ICT przedstawia wiodącemu organowi nadzorczemu na jego żądanie:

a) sprawozdania śródokresowe i powiązane dokumenty uzupełniające określające postępy we wdrażaniu działań i środków określonych w sprawozdaniu przekazanym wiodącemu organowi nadzorczemu przez kluczowego zewnętrznego dostawcę usług ICT w terminie określonym przez wiodący organ nadzorczy;

b) sprawozdania końcowe i powiązane dokumenty uzupełniające określające działania podjęte przez kluczowego zewnętrznego dostawcę usług ICT lub środki zaradcze wdrożone przez niego w celu ograniczenia ryzyka zidentyfikowanego w otrzymanych zaleceniach.