(1)

For at sikre harmonisering og forenkling af kravene til underretninger og rapporter om større IKT-relaterede hændelser, jf. artikel 19, stk. 4, i forordning (EU) 2022/2554, bør fristerne for indberetning af større IKT-relaterede hændelser følge en konsekvent tilgang for alle typer finansielle enheder. Af samme årsager bør fristerne også i videst muligt omfang følge en tilgang, som hænger sammen med kravene i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 (2), og i det mindste har samme virkning som disse.

(2)

For at undgå at pålægge finansielle enheder en urimelig indberetningsbyrde på et tidspunkt, hvor de håndterer de IKT-relaterede hændelser, bør indholdet af den indledende underretning begrænses til de vigtigste oplysninger. For at kunne træffe passende tilsynsforanstaltninger har de kompetente myndigheder behov for at modtage oplysninger om større IKT-relaterede hændelser så hurtigt som muligt, efter at den finansielle enhed har klassificeret en IKT-relateret hændelse som »større«. Fristen for indgivelse af en indledende underretning, jf. artikel 19, stk. 4, litra a), i forordning (EU) 2022/2554, bør derfor være så kort som muligt efter klassificeringen af en IKT-relateret hændelse som »større«, samtidig med at der stadig gives mulighed for fleksibilitet, navnlig for forretningsmodeller for tjenester, der ikke er særligt tidskritiske, i tilfælde hvor finansielle enheder har brug for mere tid til at håndtere den IKT-relaterede hændelse, efter at de har fået kendskab til den.

(3)

Efter at de kompetente myndigheder har modtaget den indledende underretning, bør de modtage mere udførlige oplysninger om den IKT-relaterede hændelse i den foreløbige rapport og alle relevante oplysninger i den endelige rapport. Oplysningerne i disse rapporter bør sætte de kompetente myndigheder i stand til yderligere at vurdere den IKT-relaterede hændelse og evaluere de tilsynsforanstaltninger, de måtte ønske at træffe.

(4)

De indberetningsfrister, der er omhandlet i artikel 20, stk. 1, litra a), nr. ii), i forordning (EU) 2022/2554, bør derfor afveje behovet for, at de kompetente myndigheder hurtigt modtager oplysningerne, i forhold til behovet for at give finansielle enheder tilstrækkelig tid til at indhente fuldstændige og nøjagtige oplysninger.

(5)

Idet der tages hensyn til kriterierne i artikel 20, stk. 1, litra a), i forordning (EU) 2022/2554, bør indberetningsfristerne ikke udgøre en uforholdsmæssig stor byrde for mikrovirksomheder og andre ikkevæsentlige finansielle enheder. Derudover bør indberetningsfristerne tage højde for weekender og helligdage for at undgå, at finansielle enheder pålægges en uforholdsmæssig stor byrde.

(6)

Da væsentlige cybertrusler skal indberettes på frivillig basis, bør indholdet af sådanne underretninger ikke udgøre en byrde for finansielle enheder og bør være mere begrænset end de oplysninger, der anmodes om i forbindelse med større IKT-relaterede hændelser.

(7)

Denne forordning er baseret på det udkast til reguleringsmæssige tekniske standarder, som ESA'erne har forelagt for Kommissionen.

(8)

De europæiske tilsynsmyndigheder har gennemført åbne offentlige høringer om det udkast til reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, analyseret de potentielle omkostninger og fordele samt anmodet om rådgivning fra interessentgruppen, som er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (3), (EU) nr. 1094/2010 (4) og (EU) nr. 1095/2010 (5).

(9)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (6) og afgav en positiv udtalelse den 22. juli 2024. Behandling af personoplysninger inden for rammerne af nærværende forordning bør ske i overensstemmelse med de gældende databeskyttelsesprincipper og bestemmelserne i forordning (EU) 2018/1725 —

a)

indberetningens art (indledende underretning, foreløbig rapport eller endelig rapport)

b)

navnet på den finansielle enhed, dens LEI-kode og typen af finansiel enhed, jf. artikel 2, stk. 1, i forordning (EU) 2022/2554

c)

navnet på og identifikationskoden for den enhed, der indgiver den indledende underretning, den foreløbige eller endelige rapport vedrørende den finansielle enhed

d)

hvis det er relevant, navne på og LEI-koder for alle finansielle enheder, der er omfattet af den samlede indledende underretning, foreløbige eller endelige rapport

e)

kontaktoplysninger for de personer, der har ansvar for at kommunikere med den kompetente myndighed om den større IKT-relaterede hændelse

f)

hvis det er relevant, identifikation af modervirksomheden i den koncern, som den finansielle enhed tilhører

g)

hvis der er tale om økonomiske virkninger, angives den valuta, som beløbene er baseret på.

a)

den referencekode for hændelsen, som den finansielle enhed har tildelt

b)

dato for detektion, tidspunkt for detektion og klassificering af hændelsen i henhold til artikel 8 i Kommissionens delegerede forordning (EU) 2024/1772 (7)

c)

en beskrivelse af den IKT-relaterede hændelse

d)

de kriterier, der er fastsat i artikel 1-8 i delegeret forordning (EU) 2024/1772, på grundlag af hvilke den finansielle enhed klassificerede den IKT-relaterede hændelse som »større«

e)

de medlemsstater, der er berørt af den IKT-relaterede hændelse

f)

oplysninger om, hvordan den IKT-relaterede hændelse blev opdaget

g)

hvis de foreligger, oplysninger om den IKT-relaterede hændelses oprindelse

h)

oplysninger om, hvorvidt den finansielle enhed har aktiveret en plan for driftsstabiliteten

i)

hvis det er relevant, oplysninger om omklassificeringen af den IKT-relaterede hændelse fra »større« til »mindre«

j)

hvis de foreligger, eventuelle andre relevante oplysninger.

a)

den referencekode for hændelsen, som den kompetente myndighed har oplyst

b)

dato og klokkeslæt, hvor den IKT-relaterede hændelses indtraf

c)

hvis det er relevant, den dato og det tidspunkt, hvor den finansielle enhed genoprettede sine normale aktiviteter

d)

oplysninger om, hvordan de kriterier, der er fastsat i artikel 1-8 i delegeret forordning (EU) 2024/1772, på grundlag af hvilke den finansielle enhed klassificerede den IKT-relaterede hændelse som »større«, er blevet opfyldt

e)

typen af IKT-relateret hændelse

f)

hvis det er relevant, de trusler og teknikker, som trusselsaktøren har anvendt

g)

berørte funktionelle områder og forretningsprocesser

h)

berørte infrastrukturkomponenter, der understøtter forretningsprocesser

i)

virkninger for kundernes finansielle interesser

j)

oplysninger om indberetning af IKT-relaterede hændelser til andre myndigheder

k)

midlertidige tiltag eller foranstaltninger, som den finansielle enhed har indført eller planlagt for at foretage genopretning efter den IKT-relaterede hændelse

l)

hvis det er relevant, oplysninger om kompromitteringsindikatorer.

a)

oplysninger om de grundlæggende årsager til den IKT-relaterede hændelse

b)

datoer og tidspunkter, hvor den IKT-relaterede hændelse blev løst, og den eller de grundlæggende årsag(er) blev håndteret

c)

oplysninger om afviklingen af den IKT-relaterede hændelse

d)

hvis det er relevant, oplysninger, der er relevante for afviklingsmyndighederne

e)

oplysninger om direkte og indirekte omkostninger og tab, som hidrører fra IKT-relaterede hændelser, og oplysninger om finansielle inddrivelser

f)

hvis det er relevant, oplysninger om tilbagevendende IKT-relaterede hændelser.

a)

generelle oplysninger om den indberettende finansielle enhed, jf. artikel 1

b)

dato og klokkeslæt for detektion af den væsentlige cybertrussel og eventuelle andre relevante tidsstempler, som vedrører den væsentlige cybertrussel

c)

en beskrivelse af den væsentlige cybertrussel

d)

oplysninger om den væsentlige cybertrussels potentielle virkninger for den finansielle enhed, dens kunder eller finansielle modparter

e)

de klassificeringskriterier, der ville have udløst en indberetning af en større hændelse, jf. artikel 1-8 i delegeret forordning (EU) 2024/1772, hvis cybertruslen var blevet til virkelighed

f)

oplysninger om status for den væsentlige cybertrussel og eventuelle ændringer i trusselsaktiviteten

g)

hvis det er relevant, en beskrivelse af de tiltag, som den finansielle enhed har iværksat for at forhindre, at de væsentlige cybertrusler bliver til virkelighed

h)

oplysninger om enhver underretning om den væsentlige cybertrussel til andre finansielle enheder eller myndigheder

i)

hvis det er relevant, oplysninger om kompromitteringsindikatorer

j)

hvis de foreligger, eventuelle andre relevante oplysninger.