1. Les prestataires de services de confiance qualifiés font l’objet, au moins tous les vingt-quatre mois, d’un audit effectué à leurs frais par un organisme d’évaluation de la conformité. Le but de l’audit est de confirmer que les prestataires de services de confiance qualifiés et les services de confiance qualifiés qu’ils fournissent respectent les exigences fixées par le présent règlement et à l’article 21 de la directive (UE) 2022/2555. Les prestataires de services de confiance qualifiés transmettent le rapport d’évaluation de la conformité qui en résulte à l’organe de contrôle dans un délai de trois jours ouvrables à compter de la réception dudit rapport.
1 bis.
Les prestataires de services de confiance qualifiés informent l’organe de contrôle au plus tard un mois avant tout audit planifié et autorisent l’organe de contrôle à participer en qualité d’observateur sur demande.
1 ter.
Les États membres notifient à la Commission, dans les meilleurs délais, les noms, adresses et informations d’accréditation des organismes d’évaluation de la conformité visés au paragraphe 1 ainsi que toute modification ultérieure qui leur est apportée. La Commission met ces informations à la disposition de tous les États membres.
2. Sans préjudice du paragraphe 1, l’organe de contrôle peut à tout moment soumettre les prestataires de services de confiance qualifiés à un audit ou demander à un organisme d’évaluation de la conformité de procéder à une évaluation de la conformité des prestataires de services de confiance qualifiés, aux frais de ces prestataires de services de confiance, afin de confirmer que les prestataires et les services de confiance qualifiés qu’ils fournissent remplissent les exigences fixées par le présent règlement. Lorsqu’il apparaît que les règles en matière de protection des données à caractère personnel ont été violées, l’organe de contrôle informe, dans les meilleurs délais, les autorités de contrôle compétentes instituées en vertu de l’article 51 du règlement (UE) 2016/679.
3. Si le prestataire de services de confiance qualifié ne satisfait pas à l’une des exigences énoncées dans le présent règlement, l’organe de contrôle exige dudit prestataire qu’il remédie à ce manquement, dans un délai fixé par l’organe de contrôle, s’il y a lieu.
Si ce prestataire ne remédie pas au manquement et, le cas échéant, dans le délai fixé par l’organe de contrôle, ce dernier, lorsque cela est justifié en particulier par l’ampleur, la durée et les conséquences de ce manquement, retire le statut qualifié à ce prestataire ou au service affecté qu’il fournit.
3 bis.
Lorsque les autorités compétentes désignées ou établies en vertu de l’article 8, paragraphe 1, de la directive (UE) 2022/2555, informent l’organe de contrôle que le prestataire de services de confiance qualifié ne satisfait pas à l’une des exigences prévues à l’article 21 de ladite directive, l’organe de contrôle, lorsque cela est justifié en particulier par l’ampleur, la durée et les conséquences de ce manquement, retire le statut qualifié à ce prestataire ou au service affecté qu’il fournit.
3 ter.
Lorsque les autorités de contrôle instituées en vertu de l’article 51 du règlement (UE) 2016/679, informent l’organe de contrôle que le prestataire de services de confiance qualifié ne satisfait pas à l’une des exigences prévues par ledit règlement, l’organe de contrôle, lorsque cela est justifié en particulier par l’ampleur, la durée et les conséquences de ce manquement, retire le statut qualifié à ce prestataire ou au service affecté qu’il fournit.
3 quater.
L’organe de contrôle informe le prestataire de services de confiance qualifié du retrait de son statut qualifié ou du retrait du statut qualifié du service concerné. L’organe de contrôle informe l’organisme notifié en vertu de l’article 22, paragraphe 3, du présent règlement aux fins de la mise à jour des listes de confiance visées au paragraphe 1 dudit article ainsi que l’autorité compétente désignée ou établie en vertu de l’article 8, paragraphe 1, de la directive (UE) 2022/2555.
4. Au plus tard le 21 mai 2025, la Commission établit, au moyen d’actes d’exécution, une liste de normes de référence et, au besoin, les spécifications et les procédures applicables à ce qui suit:
a) l’accréditation des organismes d’évaluation de la conformité et le rapport d’évaluation de la conformité visé au paragraphe 1;
b) les exigences en matière d’audit en application desquelles les organismes d’évaluation de la conformité effectuent leur évaluation de la conformité, y compris une évaluation composite, des prestataires de services de confiance qualifiés visés au paragraphe 1;
c) les systèmes d’évaluation de la conformité utilisés par les organismes d’évaluation de la conformité pour effectuer l’évaluation de la conformité des prestataires de services de confiance qualifiés et pour fournir le rapport visé au paragraphe 1.
Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.