(1)

Selleks, et ühtlustada ja lihtsustada määruse (EL) 2022/2554 artikli 19 lõikes 4 osutatud tõsiste IKT intsidentide kohta teadete ja raportite esitamise nõudeid, tuleks tõsistest IKT intsidentidest teavitamise tähtaegade puhul järgida kõigi finantssektori ettevõtjate puhul järjepidevat lähenemisviisi. Seetõttu tuleks ka tähtaegade puhul järgida võimalikult suurel määral lähenemisviisi, mis on järjepidev ja oma mõjult vähemalt võrdväärne nõuetega, mis on sätestatud Euroopa Parlamendi ja nõukogu direktiivis (EL) 2022/2555 (2).

(2)

Selleks, et mitte tekitada finantssektori ettevõtjatele IKT intsidendi lahendamise ajal põhjendamatut aruandluskoormust, peaks esialgse teate sisu piirduma kõige olulisema teabega. Pädevad asutused peavad nõuetekohaste järelevalvemeetmete võtmiseks saama teabe tõsiste IKT intsidentide kohta võimalikult kiiresti pärast seda, kui finantssektori ettevõtja on IKT intsidendi tõsiseks intsidendiks liigitanud. Seetõttu peaks määruse (EL) 2022/2554 artikli 19 lõike 4 punktis a osutatud esialgse teate esitamise tähtaeg olema võimalikult lühike ja algama esimesel võimalusel pärast IKT intsidendi liigitamist tõsiseks intsidendiks, võimaldades siiski paindlikkust, eelkõige selliste teenuse osutamise ärimudelite puhul, mille puhul aeg ei ole eriti kriitilise tähtsusega, kui finantssektori ettevõtjad vajavad IKT intsidendi lahendamiseks pärast sellest teada saamist rohkem aega.

(3)

Pärast esialgse teate saamist peaksid pädevad asutused saama IKT intsidendi kohta üksikasjalikumat teavet vaheraportis ja kogu asjakohase teabe lõppraportis. Neis raportites esitatav teave peaks võimaldama pädevatel asutustel IKT intsidenti põhjalikumalt analüüsida ja kaaluda, milliseid järelevalvemeetmeid nad soovivad võtta.

(4)

Määruse (EL) 2022/2554 artikli 20 esimese lõigu punkti a alapunktis ii osutatud teavitamise tähtaegade puhul tuleks seega leida tasakaal pädevate asutuste kiiresti teabe saamise vajaduse ning finantssektori ettevõtjatele tervikliku ja täpse teabe saamiseks piisava aja andmise vajaduse vahel.

(5)

Määruse (EL) 2022/2554 artikli 20 esimese lõigu punktis a sätestatud kriteeriume arvesse võttes ei tohiks teavitamise tähtajad põhjustada mikroettevõtjatele ja muudele väikestele finantssektori ettevõtjatele ebaproportsionaalselt suurt koormust. Et mitte tekitada finantssektori ettevõtjatele ebaproportsionaalset koormust, tuleks teavitamise tähtaegade puhul võtta arvesse nädalavahetusi ja riigipühasid.

(6)

Kuna olulistest küberohtudest saab teatada vabatahtlikult, ei tohiks kõnealuste teadete sisu põhjustada koormust finantssektori ettevõtjatele ja see peaks olema piiratum kui tõsiste IKT intsidentide kohta nõutav teave.

(7)

Käesolev määrus põhineb Euroopa järelevalveasutuste poolt komisjonile esitatud regulatiivsete tehniliste standardite eelnõul.

(8)

Euroopa järelevalveasutused on korraldanud avalikud konsultatsioonid käesoleva määruse aluseks oleva regulatiivsete tehniliste standardite eelnõu kohta, analüüsinud võimalikku asjaomast kulu ja kasu ning küsinud nõu Euroopa Parlamendi ja nõukogu määruste (EL) nr 1093/2010, (3) (EL) nr 1094/2010 (4) ja (EL) nr 1095/2010 (5) artikli 37 kohaselt loodud sidusrühmade kogult.

(9)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (6) artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma positiivse arvamuse 22. juulil 2024. Mis tahes isikuandmete töötlemine käesoleva määruse raames peaks toimuma kooskõlas määruse (EL) 2018/1725 alusel kohaldatavate andmekaitsealaste põhimõtete ja sätetega,

a)

esitatud teate liik (esialgne teade, vaheraport või lõppraport);

b)

finantssektori ettevõtja nimi, selle juriidilise isiku tunnus ja finantssektori ettevõtja liik, nagu on osutatud määruse (EL) 2022/2554 artikli 2 lõikes 1;

c)

finantssektori ettevõtja nimel esialgset teadet, vaheraportit või lõppraportit esitava üksuse nimi ja tunnuskood;

d)

kui see on kohaldatav, siis kõigi koondatud esialgse teate, vaheraporti või lõppraportiga hõlmatud finantssektori ettevõtjate nimed ja juriidilise isiku tunnused;

e)

nende isikute kontaktandmed, kes vastutavad pädeva asutusega tõsise IKT intsidendi asjus suhtlemise eest;

f)

kui see on kohaldatav, siis finantssektori ettevõtja grupi emaettevõtja identifitseerimisandmed;

g)

rahalise mõju korral valuuta, milles summad on esitatud.

a)

finantssektori ettevõtja määratud intsidendi viitekood;

b)

intsidendi avastamise kuupäev, avastamise aeg ja liigitus kooskõlas komisjoni delegeeritud määruse (EL) 2024/1772 (7) artikliga 8;

c)

IKT intsidendi kirjeldus;

d)

delegeeritud määruse (EL) 2024/1772 artiklites 1–8 sätestatud kriteeriumid, mille alusel finantssektori ettevõtja liigitas IKT intsidendi tõsiseks intsidendiks;

e)

IKT intsidendist mõjutatud liikmesriigid;

f)

teave selle kohta, kuidas IKT intsident avastati;

g)

kui see on kättesaadav, siis teave IKT intsidendi päritolu kohta;

h)

teave selle kohta, kas finantssektori ettevõtja on rakendanud talitluspidevuse kava;

i)

kui see on kohaldatav, siis teave IKT intsidendi ümberliigitamise kohta tõsisest intsidendist mittetõsiseks intsidendiks;

j)

kui see on kättesaadav, siis mis tahes muu asjakohane teave.

a)

kui see on kohaldatav, siis pädeva asutuse esitatud intsidendi viitekood;

b)

IKT intsidendi toimumise kuupäev ja kellaaeg;

c)

kui see on kohaldatav, siis kuupäev ja kellaaeg, kui finantssektori ettevõtja taastas oma tavapärase tegevuse;

d)

teave selle kohta, kuidas on täidetud delegeeritud määruse (EL) 2024/1772 artiklites 1–8 sätestatud kriteeriumid, mille alusel finantssektori ettevõtja liigitas IKT intsidendi tõsiseks intsidendiks;

e)

IKT intsidendi liik;

f)

kui see on kohaldatav, siis kõnealuse ohusubjekti kasutatud võtted ja ohud;

g)

mõjutatud funktsionaalsed valdkonnad ja äriprotsessid;

h)

mõjutatud taristukomponendid, mis toetavad äriprotsesse;

i)

mõju klientide finantshuvidele;

j)

teave IKT intsidentist muude asutuste teavitamise kohta;

k)

finantssektori ettevõtja IKT intsidendist taastumiseks võetud või kavandatud meetmed või ajutised meetmed;

l)

kui see on kohaldatav, siis teave ohunäitajate kohta.

a)

teave IKT intsidendi algpõhjuste kohta;

b)

IKT intsidendi lahendamise ja algpõhjuste kõrvaldamise kuupäevad ja kellaajad;

c)

teave IKT intsidendi lahendamise kohta;

d)

kui see on kohaldatav, siis kriisilahendusasutuste jaoks vajalik teave;

e)

teave IKT intsidendist tekkinud otseste ja kaudsete kulude ja kahjude kohta ning teave tagasi saadud summade kohta;

f)

kui see on kohaldatav, siis teave korduvate IKT intsidentide kohta.

a)

üldine teave teatava finantssektori ettevõtja kohta, nagu on sätestatud artiklis 1;

b)

olulise küberohu avastamise kuupäev ja kellaaeg ning olulise küberohuga seotud mis tahes muud olulised ajatemplid;

c)

olulise küberohu kirjeldus;

d)

teave olulise küberohu potentsiaalse mõju kohta finantssektori ettevõtjale, selle klientidele või finantssektori vastaspooltele;

e)

liigitamise kriteeriumid, mille alusel oleks delegeeritud määruse (EL) 2024/1772 artiklite 1–8 kohaselt teavitatud tõsisest intsidendist, kui küberoht oleks realiseerunud;

f)

teave olulise küberohu staatuse kohta ja mis tahes muutuste kohta ohu tegevuses;

g)

kui see on kohaldatav, siis nende meetmete kirjeldus, mille finantssektori ettevõtja on võtnud, et vältida olulise küberohu realiseerumist;

h)

teave olulisest küberohust teistele finantssektori ettevõtjatele või asutustele teatamise kohta;

i)

kui see on kohaldatav, siis teave ohunäitajate kohta;

j)

kui see on kättesaadav, siis mis tahes muu asjakohane teave.