(1)

Radi usklađivanja i pojednostavnjenja zahtjeva u pogledu obavješćivanja i izvješćivanja o značajnim IKT incidentima iz članka 19. stavka 4. Uredbe (EU) 2022/2554, rokovi za izvješćivanje o značajnim IKT incidentima trebali bi biti dosljedni za sve vrste financijskih subjekata. Zbog toga bi se u pogledu rokova u najvećoj mogućoj mjeri trebao primjenjivati pristup koji je usklađen sa i po učinku barem istovjetan zahtjevima utvrđenima u Direktivi (EU) 2022/2555 Europskog parlamenta i Vijeća (2).

(2)

Kako bi se izbjeglo nepotrebno opterećivanje financijskih subjekata zahtjevima za izvješćivanje u trenutku kad pokušavaju riješiti IKT incident, sadržaj početne obavijesti trebao bi biti ograničen na najvažnije informacije. Kako bi mogla poduzeti odgovarajuće nadzorne mjere, nadležna tijela trebaju dobiti informacije o značajnim IKT incidentima u najkraćem roku nakon što financijski subjekt klasificira IKT incident kao značajan. Stoga bi rok za dostavu početne obavijesti iz članka 19. stavka 4. točke (a) Uredbe (EU) 2022/2554 nakon klasifikacije IKT incidenta kao značajnog trebao biti što kraći, ali bi se istodobno trebala omogućiti određena fleksibilnost, posebno kad je riječ o poslovnim modelima usluga koji nisu osobito vremenski osjetljivi, u slučaju da financijskim subjektima zatreba više vremena za rješavanje IKT incidenta nakon što ga otkriju.

(3)

Nakon primitka početne obavijesti nadležna tijela trebala bi primiti prijelazno izvješće s detaljnijim informacijama o IKT incidentu i završno izvješće sa svim relevantnim informacijama. Informacije u tim izvješćima trebale bi nadležnim tijelima omogućiti da dodatno procijene IKT incident i razmotre nadzorne mjere koje bi možda trebalo poduzeti.

(4)

Rokovima za izvješćivanje iz članka 20. prvog stavka točke (a) podtočke ii. Uredbe (EU) 2022/2554 trebala bi se stoga postići ravnoteža između potrebe da nadležna tijela brzo dobiju informacije i potrebe da se financijskim subjektima osigura dovoljno vremena za prikupljanje potpunih i točnih informacija.

(5)

Uzimajući u obzir kriterije utvrđene u članku 20. prvom stavku točki (a) Uredbe (EU) 2022/2554, rokovi za izvješćivanje ne bi trebali predstavljati nerazmjerno opterećenje za mikropoduzeća i druge financijske subjekte koji nisu značajni. Osim toga, kako bi se izbjeglo nerazmjerno opterećenje za financijske subjekte, pri utvrđivanju rokova za izvješćivanje trebalo bi voditi računa o vikendima i neradnim danima.

(6)

Budući da se o ozbiljnim kiberprijetnjama izvješćuje dobrovoljno, sadržaj takvih obavijesti ne bi trebao opteretiti financijske subjekte te bi trebao biti ograničeniji od informacija koje se traže za značajne IKT incidente.

(7)

Ova se Uredba temelji na nacrtu regulatornih tehničkih standarda koji su Komisiji dostavila europska nadzorna tijela.

(8)

Europska nadzorna tijela provela su otvorena javna savjetovanja o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirala moguće povezane troškove i koristi te zatražila mišljenje interesnih skupina osnovanih u skladu s člankom 37. uredbi (EU) br. 1093/2010 (3), (EU) br. 1094/2010 (4) i (EU) br. 1095/2010 (5) Europskog parlamenta i Vijeća.

(9)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (6) te je on dao pozitivno mišljenje 22. srpnja 2024. Svaka obrada osobnih podataka obuhvaćena područjem primjene ove Uredbe trebala bi se provoditi u skladu s primjenjivim načelima i odredbama o zaštiti podataka utvrđenima u Uredbi (EU) 2018/1725,

(a)

vrstu podneska (početna obavijest, prijelazno izvješće ili završno izvješće);

(b)

naziv, oznaku LEI i vrstu financijskog subjekta iz članka 2. stavka 1. Uredbe (EU) 2022/2554;

(c)

naziv i identifikacijsku oznaku subjekta koji dostavlja početnu obavijest, prijelazno ili završno izvješće u ime financijskog subjekta;

(d)

ako je primjenjivo, nazive i oznake LEI svih financijskih subjekata obuhvaćenih agregiranom početnom obavijesti ili agregiranim prijelaznim ili završnim izvješćem;

(e)

podatke za kontakt osoba zaduženih za komunikaciju s nadležnim tijelom o značajnom IKT incidentu;

(f)

ako je primjenjivo, identifikacijske podatke matičnog društva grupe kojoj financijski subjekt pripada;

(g)

ako postoji monetarni učinak, valutu na kojoj se temelje iznosi.

(a)

referentnu oznaku incidenta koju je dodijelio financijski subjekt;

(b)

datum i vrijeme otkrivanja i klasifikaciju incidenta u skladu s člankom 8. Delegirane uredbe Komisije (EU) 2024/1772 (7);

(c)

opis IKT incidenta;

(d)

kriterije utvrđene u člancima od 1. do 8. Delegirane uredbe (EU) 2024/1772 na temelju kojih je financijski subjekt klasificirao IKT incident kao značajan;

(e)

države članice na koje IKT incident utječe;

(f)

informacije o tome kako je IKT incident otkriven;

(g)

ako su dostupne, informacije o izvoru IKT incidenta;

(h)

informacije o tome je li financijski subjekt aktivirao plan kontinuiteta poslovanja;

(i)

ako je primjenjivo, informacije o promjeni klasifikacije IKT incidenta iz značajnog u manje značajan;

(j)

sve druge dostupne relevantne informacije.

(a)

ako je primjenjivo, referentnu oznaku incidenta koju je dodijelilo nadležno tijelo;

(b)

datum i vrijeme nastanka IKT incidenta;

(c)

ako je primjenjivo, datum i vrijeme kad je financijski subjekt ponovno uspostavio redovne aktivnosti;

(d)

informacije o tome kako su ispunjeni kriteriji utvrđeni u člancima od 1. do 8. Delegirane uredbe (EU) 2024/1772 na temelju kojih je financijski subjekt klasificirao IKT incident kao značajan;

(e)

vrstu IKT incidenta;

(f)

ako je primjenjivo, prijetnje i tehnike aktera prijetnje;

(g)

zahvaćena funkcionalna područja i poslovne procese;

(h)

zahvaćene infrastrukturne komponente koje podupiru poslovne procese;

(i)

učinak na financijske interese klijenata;

(j)

informacije o izvješćivanju drugih tijela o IKT incidentu;

(k)

privremene radnje ili mjere koje je financijski subjekt poduzeo ili planira poduzeti kako bi se oporavio od IKT incidenta;

(l)

ako je primjenjivo, informacije o pokazateljima ugroženosti.

(a)

informacije o temeljnim uzrocima IKT incidenta;

(b)

datum i vrijeme rješavanja IKT incidenta i otklanjanja njegovih temeljnih uzroka;

(c)

informacije o rješavanju IKT incidenta;

(d)

ako je primjenjivo, informacije relevantne za sanacijska tijela;

(e)

informacije o izravnim i neizravnim troškovima i gubicima koje je prouzročio IKT incident te informacije o financijskim povratima;

(f)

ako je primjenjivo, informacije o IKT incidentima koji se ponavljaju.

(a)

opće informacije o financijskom subjektu koji dostavlja obavijest kako su utvrđene u članku 1.;

(b)

datum i vrijeme otkrivanja ozbiljne kiberprijetnje i sve druge relevantne vremenske žigove povezane s ozbiljnom kiberprijetnjom;

(c)

opis ozbiljne kiberprijetnje;

(d)

informacije o mogućem učinku ozbiljne kiberprijetnje na financijski subjekt, njegove klijente ili partnerske financijske subjekte;

(e)

klasifikacijske kriterije iz članaka od 1. do 8. Delegirane uredbe (EU) 2024/1772 koji bi rezultirali izradom izvješća o značajnom incidentu da se kiberprijetnja ostvarila;

(f)

informacije o statusu ozbiljne kiberprijetnje i svim promjenama u aktivnosti prijetnje;

(g)

ako je primjenjivo, opis mjera koje je financijski subjekt poduzeo kako bi spriječio ostvarenje ozbiljnih kiberprijetnji;

(h)

informacije o svakoj obavijesti o ozbiljnoj kiberprijetnji koja je dostavljena drugim financijskim subjektima ili tijelima;

(i)

ako je primjenjivo, informacije o pokazateljima ugroženosti;

(j)

ako su dostupne, sve druge relevantne informacije.