Delegierte Verordnung (EU) 2024/436 der Kommission vom 20. Oktober 2023 zur Ergänzung der Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates durch Festlegung von Vorschriften für die Durchführung von Prüfungen sehr großer Online-Plattformen und sehr großer Online-Suchmaschinen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

frisikos auch auf Informationen aus früheren Prüfungen stützen, denen der geprüfte Anbieter unterzogen wurde, und auf Informationen aus Quellen wie Auditberichten anderer Anbieter mit ähnlichem Risikoprofil aufbauen. Damit gewährleistet ist, dass die Analyse des Prüfrisikos umfassend auf dem neuesten Stand der Erkenntnisse über Risiken ist, die in ähnlichen Kontexten wie dem Tätigkeitsbereich des geprüften Anbieters vorliegen, und auf verlässlichen Quellen von unmittelbarer Bedeutung für die Anwendung der Verordnung (EU) 2022/2065 beruht, sollte sich die Analyse auch auf Informationen aus Berichten des Europäischen Gremiums für digitale Dienste oder gegebenenfalls auf Leitlinien der Kommission stützen. Zu den weiteren Informationen könnten auch Informationen aus Prüfberichten gehören, die gemäß Artikel 42 Absatz 4 der Verordnung (EU) 2022/2065 von anderen Anbietern sehr großer Online-Plattformen oder sehr großer Online-Suchmaschinen veröffentlicht wurden. (22) Die Prüfstellen sollten ohne Einflussnahme des geprüften Anbieters die Prüfungsmethoden ausarbeiten, die zur Bewertung der Einhaltung der geprüften Pflichten und Verpflichtungszusagen verwendet werden. Die Prüfkriterien sollten sich auf die vom geprüften Anbieter vorgelegten Informationen zu den Referenzwerten stützen, die dieser für die Überwachung der Einhaltung verwendet. Bei der Methode können auch weitere vom geprüften Anbieter bereitgestellte Informationen berücksichtigt werden, beispielsweise die Analyse inhärenter Risiken, sofern diese durch den geprüften Anbieter durchgeführt wurde, beispielsweise durch Maßnahmen, die vom Compliance-Beauftragten oder vom Leitungsorgan nach Artikel 41 der Verordnung (EU) 2022/2065 entwickelt wurden, oder durch andere Maßnahmen, die in die Funktionsweise des Dienstes für die in Artikel 34 der genannten Verordnung genannten Bewertungen des Systemrisikos eingebettet sind. (23) Um sicherzustellen, dass die Prüfungsmethoden geeignet sind, ein hinreichendes Maß an Sicherheit der Stellungnahmen zu erreichen, sollte die Wahl der Methode für die Prüfverfahren den Besonderheiten der geprüften Pflicht oder Verpflichtungszusage Rechnung tragen und beispielsweise an die Art der geprüften Pflicht als Mittelverpflichtung oder eine Verpflichtungszusage zur Vorlage Ergebnissen angepasst werden, die der Anbieter erreichen muss, um die Anforderungen zu erfüllen. Beispielsweise könnten Prüfverfahren zur Bewertung der Einhaltung der Transparenzberichtspflichten gemäß Artikel 15 der Verordnung (EU) 2022/2065 es der Prüfstelle ermöglichen, festzustellen, ob die Berichte innerhalb der in der genannten Verordnung vorgeschriebenen Fristen und Formate veröffentlicht wurden, ob sie vollständig waren und ob die gemeldeten Daten korrekt, repräsentativ und — z. B. nach Kategorien illegaler Inhalte, zu denen Maßnahmen ergriffen wurden — adäquat aufgeschlüsselt waren. (24) Die Wahl der Methode sollte auch davon abhängen, ob für die Konformitätsbewertung kontextbezogene Auslegungen durch die Prüfstelle erforderlich sind. Die Wahl der Methoden sollte auch an die inhärenten Risiken angepasst werden, die mit den bei der Erbringung des Diensts durchgeführten Tätigkeiten verbunden sind, und an den Kontext, in dem die Dienstleistung erbracht wird, z. B. ob die Dienstleistung den Verkauf von Waren umfasst, die rechtswidrig sein könnten, oder ob die Dienstleistung in erster Linie von Minderjährigen genutzt wird. Beispielsweise sollten Methoden zur Bewertung der Einhaltung der Verpflichtungen zur Einführung geeigneter und verhältnismäßiger Maßnahmen für ein hohes Maß an Privatsphäre, Sicherheit und Schutz von Minderjährigen nach Artikel 28 Absatz 1 der Verordnung (EU) 2022/2065 es der Prüfstelle ermöglichen, hinreichend zu verstehen, wie der geprüfte Dienst von Minderjährigen genutzt wird und welche Risiken für ihre Privatsphäre, ihre Sicherheit und ihren Schutz entstehen können und was eine angemessene und verhältnismäßige Maßnahme im spezifischen Kontext des geprüften Dienstes und seiner Nutzung durch Minderjährige wäre. Zu diesem Zweck sollten die Prüfstellen die Bewertung in geeignete Schritte aufteilen. Sie sollten die Prüfrisiken anhand des Risikoprofils des geprüften Anbieters bewerten, und dabei insbesondere berücksichtigen, ob dessen Dienste für Minderjährige verfügbar sind bzw. überwiegend von Minderjährigen genutzt werden. Sie sollten beispielsweise bewerten, ob der Anbieter Instrumente zur Altersfeststellung eingeführt hat, ob diese wirksam sind und wie der geprüfte Anbieter ihre Wirksamkeit bewertet und überwacht. Sie sollten bewerten, ob der geprüfte Anbieter geeignete Maßnahmen ergriffen hat, um eine feindselige Nutzung seines Dienstes und Verhaltensmuster aufzudecken, die darauf abzielen, Minderjährigen Schaden zufügen oder diese zu schädigen drohen. (25) Die Wahl der Methoden sollte an die Kontrollrisiken im Zusammenhang mit den von dem geprüften Anbieter ergriffenen Compliance-Maßnahmen sowie an die Aufdeckungsrisiken angepasst werden, darunter insbesondere das Risiko, dass Falschangaben in den Informationen, die der Anbieter der Prüfstelle zur Verfügung stellt, nicht aufgedeckt werden. Wenn beispielsweise eine geprüfte Pflicht die Prüfung eines algorithmischen Systems auf der Grundlage der Personalisierung für die einzelnen Nutzer des geprüften Dienstes und der wiederkehrenden Aktualisierungen des algorithmischen Systems beruht, wie die Offenlegungspflichten für Empfehlungssysteme gemäß Artikel 27 der Verordnung (EU) 2022/2065, sollte die Wahl der Methode es der Prüfstelle ermöglichen, geeignete Tests zur Minimierung der Aufdeckungsrisiken zu entwickeln. Möchte die Prüfstelle wiederum bewerten, ob bei der Konzeption, dem Betrieb und der Nutzung von auf großen Sprachmodellen beruhenden Anwendungen, wie vom geprüften Anbieter eingesetzten Chat-Funktionen oder Empfehlungssystemen, alle relevanten Risiken gemindert wurden, sollte die Prüfstelle zunächst die Angemessenheit der vom Anbieter eingeführten Kontrollen bewerten. Bei der Wahl der Tests sollte die Robustheit dieser internen Kontrollen berücksichtigt werden. Insbesondere, aber nicht beschränkt auf die Fälle, in denen die internen Kontrollen nicht streng, nicht vollständig oder nicht schlüssig sind, um zu beurteilen, ob die Vorschriften eingehalten werden, wenn die Gesamtheit der Nutzer des geprüften Dienstes berücksichtigt wird, sollten die Prüfverfahren auf einer Kombination von Methoden beruhen. Die Methoden könnten beispielsweise vertiefte Analyseverfahren umfassen, wie die Analyse der Interaktionen zwischen allen an den Empfehlungssystemen beteiligten algorithmischen Systemen und damit zusammenhängenden Regeln der Entscheidungsfindung und -verfahren zur Festlegung der wichtigsten Parameter dieser Empfehlungssysteme, sowie die Auswertung digitaler Aufzeichnungen und Protokolle. Die Methoden sollten auch Tests des Systems umfassen, z. B. Tests in simulierten Umgebungen. (26) Um sicherzustellen, dass die Methode relevant und an neue, während der Durchführung der Prüfung festgestellte Erkenntnisse angepasst ist, sollte sich die Wahl der Methoden nach dem fachlichen Urteil der Prüfstelle richten und an diese neuen Feststellungen angepasst werden, insbesondere wenn die Prüfstelle begründete Zweifel an den vom geprüften Anbieter vorgelegten Informationen hat. Die kritische Grundhaltung der Prüfstelle sollte sich auf ihre Fachkenntnisse sowie auf andere Informationsquellen stützen, die für die Anwendung der Verordnung (EU) 2022/2065 von besonderer Bedeutung sind, wie Berichte des Europäischen Gremiums für digitale Dienste, Anleitungen der Kommission, Prüfberichte aus Verhaltenskodizes oder Krisenprotokollen gemäß den Artikeln 45, 46 und 48 der genannten Verordnung oder Informationen, die sich während der Durchführung der Prüfung ergeben, auch wenn sie mit Ereignissen, insbesondere Krisensituationen, zusammenhängen, die zusätzliche Maßnahmen des geprüften Anbieters erforderlich machen, um die Einhaltung bestimmter geprüfter Pflichten oder Verpflichtungszusagen sicherzustellen. (27) Um sicherzustellen, dass während der Prüfung ausreichend Prüfbelege erhoben werden, sollten die Prüfstellen sowohl die internen Kontrollen des geprüften Anbieters bewerten als auch vertiefte Prüfverfahren durchführen, um die Einhaltung der Vorschriften durch den geprüften Anbieter zu bewerten. In bestimmten Fällen sollte die Prüfstelle auch Tests durchführen. (28) Angesichts der Komplexität der von den Anbietern von Online-Plattformen verwendeten algorithmischen Systeme und ihrer wichtigen Rolle bei der Einhaltung mehrerer in der Verordnung (EU) 2022/2065 festgelegter Verpflichtungen sollte ein besonderes Augenmerk auf die Wahl notwendiger und geeigneter Methoden für die Prüfung algorithmischer Systeme gelegt werden. Dies gilt sowohl dann, wenn algorithmische Systeme Teil der vom geprüften Anbieter eingeführten Kontrollen sind, als auch, wenn sie selbst Gegenstand der geprüften Pflichten oder Verpflichtungszusagen sind, z. B. in Bezug auf Empfehlungssysteme, z. B. nach den Artikeln 27, 34, 35 und 38 der Verordnung (EU) 2022/2065, oder Werbesysteme, wie nach den Artikeln 26, 28, 34, 35 und 39 der genannten Verordnung, Systeme zur Moderation von Inhalten, beispielsweise nach den Artikeln 14, 15, 34 und 35 der genannten Verordnung, oder jedes andere algorithmische System, das zu den in Artikel 34 der genannten Verordnung genannten Risiken beiträgt. (29) Es sollte auch eine Kombination vertiefter Analyseverfahren verwendet werden, gegebenenfalls auch auf der Grundlage von Beobachtungen der Verfahren und Tätigkeiten des geprüften Anbieters bei der Konzeption, der Entwicklung, dem Betrieb, dem Test und der Überwachung algorithmischer Systeme oder der Auswertung der von den Systemen erstellten digitalen Aufzeichnungen und Protokolle. Die Methoden sollten an die Besonderheiten algorithmischer Systeme, einschließlich ihrer Governance, der Interaktion zwischen verschiedenen algorithmischen Systemen und den zugehörigen Datenmanagementsystemen, sowie an die diesen algorithmischen Systemen zugrunde liegenden Technologien wie generative Modelle oder andere Klassifizierungs-, Auswahl- oder Suchalgorithmen angepasst werden. (30) Darüber hinaus sollten die Prüfungsmethoden für algorithmische Systeme Tests umfassen, beispielsweise um Informationen zu erheben, die der geprüfte Anbieter zuvor nicht dokumentiert hat, oder um Ergebnisse von Genauigkeitsindikatoren, Sandbox-Tests, Tests in simulierten Umgebungen oder Tests in Produktionssystemen unabhängig nachzuvollziehen und zu bewerten, unter anderem durch Datenextraktion oder Angriffstests. (31) Da eine hohe Qualität der Prüfbelege eine notwendige Voraussetzung dafür ist, dass eine Prüfstelle eine Stellungnahme mit einem hinreichenden Maß an Sicherheit erteilt, sollten die Informationen, die die Prüfstelle als Prüfbelege zu verwenden beabsichtigt, angemessen und ausreichend sein, um Prüfrisiken zu verringern. Darüber hinaus sollten die Prüfbelege nach dem fachlichen Urteil und der kritischen Grundhaltung der Prüfstelle und, bei Bedarf, unter Berücksichtigung alternativer Informationsquellen zuverlässig sein. Zu einem fachlichen Urteil und einer kritischen Grundhaltung sollten auch eine kritische Bewertung von Prüfbelegen und möglichen Falschangaben gehören. Diese Qualitätsstandards sollten für alle Prüfbelege gelten, unabhängig davon, ob sie vom geprüften Anbieter vorgelegt oder aus anderen Quellen erhoben wurden. (32) Die Prüfstelle sollte eine Reihe von Informationsquellen berücksichtigen, unter anderem Befragungen von Mitarbeitern oder Auftragnehmern des geprüften Anbieters und von Compliance-Beauftragten, Ingenieuren, Datenwissenschaftlern, Softwarearchitekten oder Mitgliedern interner Auditteams. Sie könnten auch eine technische Dokumentation über die Konzeption, Umsetzung, Erprobung und Überwachung eines einschlägigen Systems, einschließlich Datenqualität und -verwaltung und Aktualisierungen und Versionen des Systems, sowie andere Unterlagen über die Unternehmensführungs- und Entscheidungsverfahren des geprüften Anbieters umfassen, auch im Hinblick auf Prioritäten, Ressourcen, die Zuweisung von Aufgaben und Zuständigkeiten oder die Fachkenntnisse einschlägiger Mitarbeiter. (33) Um Effizienz und Verhältnismäßigkeit bei der Durchführung der Prüfung zu gewährleisten, sollte es der Prüfstelle gestattet sein, unter gebührender Berücksichtigung der Erreichung einer repräsentativen Stichprobe Daten und Informationen zu erheben, damit die Prüfstelle eine Stellungnahme mit einem hinreichenden Maß an Sicherheit erteilen kann. Um Transparenz und Reproduzierbarkeit der Prüfverfahren zu gewährleisten, sollte die Prüfstelle die Wahl des Umfangs und der Methode der Stichprobe im Prüfbericht begründen. So sollten beispielsweise der Umfang und die Methode der Stichprobe unter der Berücksichtigung gewählt werden, dass der Zweck der Prüfung der konkreten geprüften Pflicht oder Verpflichtungszusage wirksam erfüllt und das Risiko minimiert werden, dass die Schlussfolgerung aus der Prüfung der spezifischen Stichprobe von der Schlussfolgerung abweicht, die sich ergeben würde, wenn die Gesamtheit der Belege in das Prüfverfahren einbezogen wird. Umfang und Methode der Stichprobe sollten unter Berücksichtigung des gesamten Prüfungsumfangs sowie unter Berücksichtigung zu dieser Zeit erfolgter interner oder externer Änderungen des geprüften Diensts ausgewählt werden. Sie sollten auch an die Besonderheiten algorithmischer Systeme angepasst werden, so auch in Bezug auf die Personalisierung durch Profiling. Bei diesen Überlegungen sollte die Prüfstelle beispielsweise eine angemessene Stichprobe aus den verschiedenen Kohorten oder Teilungen, die sich aus Personalisierungstechniken ergeben können, ziehen oder die Fehlermarge ermitteln und begründen, warum sie auf einem annehmbaren Niveau liegt. (34) Angesichts der Neuartigkeit einiger Bestimmungen der Verordnung (EU) 2022/2065 ist es erforderlich, methodische Grundsätze festzulegen, einschließlich Prüfungsfragen, sowie weitere Orientierungshilfen für die Wahl der Prüfungsmethoden und Prüfbelege zur Bewertung der Einhaltung dieser Bestimmungen, insbesondere zur Bewertung der Einhaltung der Artikel 34, 35 und 36 der Verordnung (EU) 2022/2065 hinsichtlich der Durchführung von Risikobewertungen und der Annahme von Maßnahmen zur Risikominderung durch geprüfte Anbieter und der Anwendung von Pflichten in Bezug auf eine Krisenreaktion. (35) Da Prüfstellen auch die Einhaltung von Artikel 37 der Verordnung (EU) 2022/2065 durch den geprüften Anbieter bewerten sollten, gilt es auch, die genaue Prüfung näher zu spezifizieren, anhand derer die Einhaltung bewertet werden sollte, insbesondere um Interessenkonflikte der Prüfstelle zu vermeiden. (36) Angesichts des freiwilligen Charakters der Verhaltenskodizes und Krisenprotokolle gilt es, spezifische Bedingungen für die Prüfung der Einhaltung der Artikel 45, 46 und 48 der Verordnung (EU) 2022/2065 festzulegen, um insbesondere sicherzustellen, dass die Prüfstellen über alle Informationen verfügen, die für die Durchführung von Prüfungen im Zusammenhang mit den Verpflichtungen im Rahmen der einzelnen Verhaltenskodizes und Krisenprotokolle erforderlich sind — HAT FOLGENDE VERORDNUNG ERLASSEN: ABSCHNITT I Allgemeine Bestimmungen Artikel 1 Gegenstand In dieser Verordnung werden Vorschriften für die Durchführung von Prüfungen nach Artikel 37 der Verordnung (EU) 2022/2065 in Bezug auf Folgendes festgelegt: a) die Verfahrensschritte, mit denen sichergestellt wird, dass die auszuwählende Prüfstelle die in Artikel 37 Absatz 3 der Verordnung (EU) 2022/2065 festgelegten Bedingungen erfüllt; b) die Verfahrensschritte für die Zusammenarbeit und die Unterstützung durch den geprüften Anbieter bei der Durchführung von Prüfungen, einschließlich des Zugangs zu einschlägigen Informationen im Hinblick auf die Erlangung von Prüfbelegen; c) die Festlegung und Auswahl der Prüfungsmethoden; d) die Vorlagen für den Prüfbericht und den Bericht über die Umsetzung der Prüfergebnisse. Artikel 2 Begriffsbestimmungen Für die Zwecke dieser Verordnung bezeichnet der Ausdruck 1. „Prüfstelle“ eine einzelne Organisation, ein Konsortium oder eine sonstige Kombination von Organisationen, einschließlich Unterauftragnehmern, die der geprüfte Anbieter mit der Durchführung einer unabhängigen Prüfung nach Artikel 37 der Verordnung (EU) 2022/2065 beauftragt hat; 2. „geprüfter Dienst“ eine sehr große Online-Plattform oder eine sehr große Online-Suchmaschine, die nach Artikel 33 der Verordnung (EU) 2022/2065 benannt wurde; 3. „geprüfter Anbieter“ den Anbieter eines geprüften Dienstes, der unabhängigen Prüfungen nach Artikel 37 Absatz 1 der genannten Verordnung unterliegt; 4. „geprüfte Pflicht oder Verpflichtungszusage“ eine Pflicht oder Verpflichtungszusage nach Artikel 37 Absatz 1 der Verordnung (EU) 2022/2065, die Gegenstand der Prüfung ist; 5. „Prüfkriterien“ die Kriterien, anhand deren die Prüfstelle die Einhaltung jeder geprüften Pflicht oder Verpflichtungszusage bewertet; 6. „Prüfbelege“ sämtliche Informationen, die von einer Prüfstelle zur Untermauerung der Prüfungsfeststellungen und -schlussfolgerungen und zur Abgabe einer Stellungnahme verwendet werden, einschließlich Daten aus Dokumenten, Datenbanken oder IT-Systemen, Befragungen oder Tests; 7. „Falschangabe“ eine vorsätzliche oder unbeabsichtigte Auslassung, eine falsche Darstellung oder einen Fehler in den Erklärungen oder Daten, die der geprüfte Anbieter der Prüfstelle mitgeteilt oder übermittelt hat, oder in der Testumgebung, die der geprüfte Anbieter der Prüfstelle bereitgestellt hat; 8. „Prüfrisiko“ das Risiko, dass die Prüfstelle eine unzutreffende Stellungnahme abgibt oder zu einer unzutreffenden Schlussfolgerung hinsichtlich der Einhaltung einer geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter gelangt, wobei die Aufdeckungsrisiken, inhärenten Risiken und Kontrollrisiken in Bezug auf die geprüfte Pflicht oder Verpflichtungszusage zu berücksichtigen sind; 9. „Aufdeckungsrisiko“ das Risiko, dass die Prüfstelle eine Falschangabe nicht entdeckt, die für die Bewertung der Einhaltung einer geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter relevant ist; 10. „inhärentes Risiko“ das Risiko der Nichteinhaltung, das untrennbar mit der Art, der Konzeption, der Tätigkeit und der Nutzung des geprüften Dienstes sowie dem Kontext, in dem dieser betrieben wird, zusammenhängt, sowie das Risiko der Nichteinhaltung im Zusammenhang mit der Art der geprüften Pflicht oder Verpflichtungszusage; 11. „Kontrollrisiko“ das Risiko, dass Falschangaben nicht rechtzeitig im Rahmen interner Kontrollen des geprüften Anbieters verhindert, entdeckt und korrigiert werden; 12. „Wesentlichkeitsschwelle“ den Schwellenwert, über dem Abweichungen oder Falschangaben des geprüften Anbieters — einzeln oder in aggregierter Form — die Prüfungsfeststellungen und -schlussfolgerungen sowie die Stellungnahmen ernsthaft beeinträchtigen; 13. „hinreichendes Maß an Sicherheit“ ein hohes, aber nicht absolutes Maß an Sicherheit, das es der Prüfstelle ermöglicht, in ihrer Stellungnahme und ihren Prüfungsschlussfolgerungen auf der Grundlage ausreichender und geeigneter Nachweise festzustellen, ob der geprüfte Anbieter die geprüften Pflichten oder Verpflichtungszusagen einhält; 14. „interne Kontrolle“ sämtliche Maßnahmen, Verfahren und Tests, die vom geprüften Anbieter, einschließlich seiner Compliance-Beauftragten und seines Leitungsorgans, konzipiert, umgesetzt und aufrechterhalten werden, um die Einhaltung der geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter zu überwachen und sicherzustellen; 15. „zugelassener Forscher“ eine Forscherin bzw. einen Forscher, die bzw. der nach Artikel 40 Absatz 8 der Verordnung (EU) 2022/2065 mit diesem Status anerkannt wurde; 16. „Prüfverfahren“ jede Technik, die die Prüfstelle bei der Durchführung der Prüfung anwendet, einschließlich der Erhebung von Daten, der Wahl und Anwendung von Methoden wie Tests und vertiefte Analyseverfahren, sowie alle anderen Maßnahmen, die zur Erhebung und Analyse von Informationen zur Sammlung von Prüfbelegen und zur Formulierung von Prüfungsschlussfolgerungen ergriffen werden, einschließlich der Erstellung einer Stellungnahme oder des Prüfberichts; 17. „Test“ eine Prüfungsmethode, die aus Messungen, Experimenten oder anderen Kontrollen, darunter Kontrollen algorithmischer Systeme, besteht und durch die die Prüfstelle die Einhaltung der geprüften Pflicht oder Verpflichtung durch den geprüften Anbieter bewertet; 18. „vertieftes Analyseverfahren“ eine Prüfungsmethode, die von der Prüfstelle verwendet wird, um Informationen zu bewerten, aus denen auf Prüfrisiken oder die Einhaltung der geprüften Pflicht oder Verpflichtungszusage geschlossen werden kann. Artikel 3 Prüfungsumfang und hinreichendes Maß an Sicherheit (1) Die Prüfung wird in einer Weise und für einen Zeitraum durchgeführt, die es der Prüfstelle ermöglichen, die Einhaltung aller geprüften Pflichten und Verpflichtungszusagen durch den geprüften Anbieter mit einem hinreichenden Maß an Sicherheit zu bewerten. (2) Die Prüfung erstreckt sich auf den Zeitraum, der unmittelbar nach dem von der vorherigen Prüfung abgedeckten Zeitraum beginnt und an einem Tag endet, der es der Prüfstelle ermöglicht, die Prüfung innerhalb des in Artikel 37 Absatz 1 der Verordnung (EU) 2022/2065 vorgeschriebenen Zeitrahmens durchzuführen, unter anderem indem sie ihre Bewertung gemäß Absatz 1 auf der Grundlage der in diesem Zeitraum gesammelten Nachweise und durchgeführten Prüfverfahren abgibt und den Prüfbericht gemäß Artikel 37 Absatz 4 der genannten Verordnung fertigstellt und dem geprüften Anbieter vorlegt. (3) Wurde kein früheres Audit durchgeführt, deckt die Prüfung den Zeitraum ab, der vier Monate nach der Mitteilung gemäß Artikel 33 Absatz 6 Unterabsatz 1 der Verordnung (EU) 2022/2065 beginnt, und die Dauer der Prüfung muss es ermöglichen, dass der Prüfbericht gemäß Artikel 6 Absatz 1 spätestens innerhalb eines Jahres nach Beginn des geprüften Zeitraums abgeschlossen werden kann. ABSCHNITT II Bedingungen für die Durchführung der Prüfung Artikel 4 Auswahl der Prüfstelle (1) Vor der Auswahl einer Prüfstelle im Hinblick auf die Durchführung der Prüfung prüft der geprüfte Anbieter, ob die auszuwählende Stelle die Anforderungen nach Artikels 37 Absatz 3 der Verordnung (EU) 2022/2065 erfüllt. (2) Besteht die auszuwählende Prüfstelle aus mehr als einer juristischen Person oder beabsichtigt sie, einen oder mehrere Unterauftragnehmer in Anspruch zu nehmen, so prüft der geprüfte Anbieter, ob alle diese juristischen Personen oder Unterauftragnehmer a) für sich genommen die Anforderungen nach Artikel 37 Absatz 3 Buchstaben a und c der Verordnung (EU) 2022/2065 erfüllen; b) gemeinsam die Anforderungen nach Artikel 37 Absatz 3 Buchstabe b der Verordnung (EU) 2022/2065 erfüllen; Artikel 5 Zusammenarbeit zwischen dem geprüften Anbieter und der Prüfstelle und gegenseitige Unterstützung (1) Zu einem mit der Prüfstelle vereinbarten Zeitpunkt und in jedem Fall vor Durchführung eines Prüfverfahrens übermittelt der geprüfte Anbieter der ausgewählten Prüfstelle mindestens die folgenden Informationen: a) eine Beschreibung der internen Kontrollen, die in Bezug auf jede geprüfte Pflicht und Verpflichtungszusage eingeführt wurden, einschließlich zugehöriger Indikatoren und aller aktuellen und historischen Messungen, sowie Referenzwerte, die der geprüfte Anbieter verwendet hat, um die Einhaltung der geprüften Pflichten und Verpflichtungszusagen zu bestätigen oder zu überwachen, sowie alle Belege; b) seine vorläufige Analyse der inhärenten Risiken und Kontrollrisiken, sofern der geprüfte Anbieter eine solche Analyse durchgeführt hat, sowie alle B