(1)

Jotta voidaan varmistaa asetuksen (EU) 2022/2554 19 artiklan 4 kohdassa tarkoitettujen laajavaikutteisten tieto- ja viestintätekniikkaan (TVT) liittyvien poikkeamien ilmoitus- ja raportointivaatimusten yhdenmukaistaminen ja yksinkertaistaminen, laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoimisen määräaikojen olisi oltava johdonmukaisia kaikentyyppisille finanssiyhteisöille. Näistä syistä määräaikojen olisi myös mahdollisimman suuressa määrin noudatettava johdonmukaista lähestymistapaa Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 (2) vahvistettujen vaatimusten kanssa ja oltava ainakin vaikutukseltaan niitä vastaavia.

(2)

Jotta finanssiyhteisöille ei aiheutuisi kohtuutonta raportointirasitetta samaan aikaan, kun ne käsittelevät TVT:hen liittyvää poikkeamaa, alustavan ilmoituksen sisältö olisi rajattava merkityksellisimpiin tietoihin. Jotta toimivaltaiset viranomaiset voivat toteuttaa asianmukaiset valvontatoimet, niiden on saatava tiedot laajavaikutteisista TVT:hen liittyvistä poikkeamista mahdollisimman pian sen jälkeen, kun finanssiyhteisö on luokitellut TVT:hen liittyvän poikkeaman laajavaikutteiseksi. Asetuksen (EU) 2022/2554 19 artiklan 4 kohdan a alakohdassa tarkoitetun alustavan ilmoituksen toimittamisen määräajan olisi siksi oltava mahdollisimman lyhyt sen jälkeen, kun TVT:hen liittyvä poikkeama on luokiteltu laajavaikutteiseksi, mutta samalla olisi kuitenkin sallittava joustoa erityisesti sellaisten palveluliiketoimintamallien kohdalla, jotka eivät ole erityisen aikakriittisiä, jos finanssiyhteisöt tarvitsevat enemmän aikaa TVT:hen liittyvän poikkeaman käsittelyyn sen ilmenemisen jälkeen.

(3)

Alustavan ilmoituksen vastaanottamisen jälkeen toimivaltaisten viranomaisten olisi saatava TVT:hen liittyvästä poikkeamasta yksityiskohtaisempia tietoja väliraportissa ja kaikki merkitykselliset tiedot loppuraportissa. Näissä raporteissa olevien tietojen perusteella toimivaltaisten viranomaisten olisi voitava arvioida tarkemmin TVT:hen liittyvää poikkeamaa ja valvontatoimia, joita ne mahdollisesti haluavat toteuttaa.

(4)

Asetuksen (EU) 2022/2554 20 artiklan ensimmäisen kohdan a alakohdan ii alakohdassa tarkoitetuissa raportoinnin määräajoissa olisi sen vuoksi tasapainotettava toimivaltaisten viranomaisten tarve saada tiedot nopeasti ja tarve antaa finanssiyhteisöille riittävästi aikaa täydellisten ja tarkkojen tietojen hankkimiseen.

(5)

Kun otetaan huomioon asetuksen (EU) 2022/2554 20 artiklan ensimmäisen kohdan a alakohdassa säädetyt kriteerit, raportoinnin määräajat eivät saisi aiheuttaa kohtuutonta rasitetta mikroyrityksille ja muille kuin merkittäväksi luokitelluille finanssiyhteisöille. Jotta finanssiyhteisöille ei aiheutuisi kohtuutonta vaivaa, raportoinnin määräajoissa olisi lisäksi otettava huomioon viikonloput ja yleiset vapaapäivät.

(6)

Koska merkittävistä kyberuhkista ilmoitetaan vapaaehtoisesti, tällaisten ilmoitusten sisältö ei saisi aiheuttaa rasitetta finanssiyhteisöille ja sen olisi oltava laajavaikutteisista TVT:hen liittyvistä poikkeamista pyydettyjä tietoja rajoitetumpi.

(7)

Tämä asetus perustuu teknisten sääntelystandardien luonnoksiin, jotka Euroopan valvontaviranomaiset ovat toimittaneet komissiolle.

(8)

Euroopan valvontaviranomaiset ovat järjestäneet avoimet julkiset kuulemiset tämän asetuksen perustana olevista teknisten sääntelystandardien luonnoksista, analysoineet niihin mahdollisesti liittyviä kustannuksia ja hyötyjä sekä pyytäneet neuvoa Euroopan parlamentin ja neuvoston asetusten (EU) N:o 1093/2010 (3), (EU) N:o 1094/2010 (4) ja (EU) N:o 1095/2010 (5) 37 artiklan mukaisesti perustetuilta osallisryhmiltä.

(9)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (6) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut myönteisen lausunnon 22 päivänä heinäkuuta 2024. Kaikessa tämän asetuksen soveltamisalaan kuuluvassa henkilötietojen käsittelyssä olisi noudatettava asetuksessa (EU) 2018/1725 vahvistettuja sovellettavia tietosuojaperiaatteita ja -säännöksiä,

a)

raportin tyyppi (alustava ilmoitus, väliraportti tai loppuraportti);

b)

asetuksen (EU) 2022/2554 2 artiklan 1 kohdassa tarkoitetun finanssiyhteisön nimi, sen LEI-tunnus ja finanssiyhteisön tyyppi;

c)

sen yhteisön nimi ja tunnistekoodi, joka toimittaa alustavan ilmoituksen taikka väli- tai loppuraportin finanssiyhteisön puolesta;

d)

kaikkien niiden finanssiyhteisöjen nimet ja LEI-koodit, jotka sisältyvät yhdistettyyn alustavaan ilmoitukseen taikka väli- tai loppuraporttiin, jos sellaisia on;

e)

niiden henkilöiden yhteystiedot, jotka vastaavat laajavaikutteisesta TVT:hen liittyvästä poikkeamasta viestimisestä toimivaltaisen viranomaisen kanssa;

f)

konsernin sen emoyrityksen tunnistetiedot, johon finanssiyhteisö kuuluu, jos sellainen on;

g)

jos poikkeamiin liittyy rahallisia vaikutuksia, rahamäärien perustana oleva valuutta.

a)

finanssiyhteisön antama poikkeaman viitekoodi;

b)

komission delegoidun asetuksen (EU) 2024/1772 (7) 8 artiklassa tarkoitetun poikkeaman havaitsemispäivä, havaitsemisaika ja luokittelu;

c)

TVT:hen liittyvän poikkeaman kuvaus;

d)

delegoidun asetuksen (EU) 2024/1772 1–8 artiklassa säädetyt kriteerit, joiden perusteella finanssiyhteisö on luokitellut TVT:hen liittyvän poikkeaman laajavaikutteiseksi;

e)

jäsenvaltiot, joihin TVT:hen liittyvä poikkeama on vaikuttanut;

f)

tiedot siitä, miten TVT:hen liittyvä poikkeama havaittiin;

g)

jos saatavilla, tiedot TVT:hen liittyvän poikkeaman alkuperästä;

h)

tieto siitä, onko finanssiyhteisö aktivoinut liiketoiminnan jatkuvuussuunnitelman;

i)

tieto TVT:hen liittyvän poikkeaman mahdollisesta uudelleenluokituksesta laajavaikutteisesta ei-laajavaikutteiseksi;

j)

muut merkitykselliset tiedot, jos sellaisia on saatavilla.

a)

toimivaltaisen viranomaisen antama poikkeaman viitekoodi, jos sellainen on;

b)

TVT:hen liittyvän poikkeaman tapahtumapäivä ja -aika;

c)

tapauksen mukaan päivä ja aika, jolloin finanssiyhteisön säännöllinen toiminta on palautettu;

d)

tiedot siitä, miten delegoidun asetuksen (EU) 2024/1772 1–8 artiklassa säädetyt kriteerit, joiden perusteella finanssiyhteisö on luokitellut TVT:hen liittyvän poikkeaman laajavaikutteiseksi, ovat täyttyneet;

e)

TVT:hen liittyvän poikkeaman tyyppi:

f)

uhkatoimijan käyttämät uhat ja tekniikat, jos sellaisia on;

g)

toiminta-alueet ja liiketoimintaprosessit, joihin poikkeama on vaikuttanut;

h)

liiketoimintaprosesseja tukevat infrastruktuurikomponentit, joihin poikkeama on vaikuttanut;

i)

vaikutukset asiakkaiden taloudellisiin etuihin;

j)

tiedot TVT:hen liittyvästä poikkeamasta raportoinnista muille viranomaisille;

k)

väliaikaiset toimet tai toimenpiteet, joita finanssiyhteisö on toteuttanut tai aikoo toteuttaa toipuakseen TVT:hen liittyvästä poikkeamasta;

l)

tiedot vaarantumisindikaattoreista, jos sellaisia on.

a)

tiedot TVT:hen liittyvän poikkeaman perimmäisistä syistä;

b)

päivämäärät ja ajat, jolloin TVT:hen liittyvä poikkeama ratkaistiin ja perimmäisiin syihin reagoitiin;

c)

tiedot TVT:hen liittyvän poikkeaman ratkaisemisesta;

d)

kriisinratkaisuviranomaisten kannalta merkitykselliset tiedot, jos sellaisia on;

e)

tiedot TVT:hen liittyvästä poikkeamasta aiheutuneista suorista ja välillisistä kustannuksista ja tappioista sekä tiedot takaisinperimisistä;

f)

tiedot toistuvista TVT:hen liittyvistä poikkeamista, jos sellaisia on.

a)

1 artiklan mukaiset yleiset tiedot ilmoituksen tekevästä finanssiyhteisöstä;

b)

merkittävän kyberuhkan havaitsemispäivä ja -aika sekä muut merkittävään kyberuhkaan liittyvät merkitykselliset aikaleimat;

c)

merkittävän kyberuhkan kuvaus;

d)

tiedot merkittävän kyberuhkan mahdollisista vaikutuksista finanssiyhteisöön, sen asiakkaisiin tai finanssialan vastapuoliin;

e)

delegoidun asetuksen (EU) 2024/1772 1–8 artiklassa säädetyt luokittelukriteerit, jotka olisivat johtaneet raporttiin laajavaikutteisesta poikkeamasta, jos kyberuhka olisi toteutunut;

f)

tiedot merkittävän kyberuhkan tilasta ja mahdollisista muutoksista uhkaavassa toiminnassa;

g)

kuvaus toimista, joita finanssiyhteisö on toteuttanut merkittävien kyberuhkien toteutumisen estämiseksi, jos sellaisia on;

h)

tiedot mahdollisesta merkittävää kyberuhkaa koskevasta ilmoituksesta muille finanssiyhteisöille tai viranomaisille;

i)

tiedot vaarantumisindikaattoreista, jos sellaisia on;

j)

muut merkitykselliset tiedot, jos sellaisia on saatavilla.