(1)

A jelentős IKT-vonatkozású eseményekkel kapcsolatos, az (EU) 2022/2554 rendelet 19. cikkének (4) bekezdésében említett értesítési és bejelentési követelmények harmonizálása és egyszerűsítése érdekében a jelentős IKT-vonatkozású események bejelentésére alkalmazandó határidőknek következetes megközelítést kell alkalmazniuk a pénzügyi szervezetek valamennyi típusa esetében. Ezen okokból kifolyólag a határidőknek a lehető legnagyobb mértékben összhangban kell lenniük az (EU) 2022/2555 európai parlamenti és tanácsi irányelvben (2) meghatározott követelményekkel, és legalábbis azokkal azonos hatásúnak kell lenniük.

(2)

Annak elkerülése érdekében, hogy a pénzügyi szervezetekre indokolatlan jelentéstételi teher nehezedjen az IKT-vonatkozású esemény kezelése során, a kezdeti értesítés tartalmát a leglényegesebb információkra kell korlátozni. Ahhoz, hogy megfelelő felügyeleti intézkedéseket lehessen hozni, az illetékes hatóságoknak a lehető leggyorsabban tájékoztatást kell kapniuk a jelentős IKT-vonatkozású eseményekről, miután a pénzügyi szervezet egy adott IKT-vonatkozású eseményt jelentősként osztályozott. Következésképpen az (EU) 2022/2554 rendelet 19. cikke (4) bekezdésének a) pontjában említett kezdeti értesítés benyújtása határidejének a lehető legrövidebbnek kell lennie az IKT-vonatkozású esemény jelentősként való osztályozását követően, ugyanakkor rugalmasságot kell biztosítania – különösen az idő szempontjából nem kritikus szolgáltatási üzleti modellek esetében – arra az esetre, ha a pénzügyi szervezeteknek a tudomásszerzést követően több időre van szükségük az IKT-vonatkozású esemény kezelésére.

(3)

A kezdeti értesítés kézhezvételét követően részletesebb tájékoztatással kell szolgálni az illetékes hatóságoknak az IKT-vonatkozású eseményről az időközi jelentésben, és minden releváns információt meg kell adni a zárójelentésben. A jelentésekben szereplő információknak lehetővé kell tenniük az illetékes hatóságok számára, hogy mélyrehatóbban értékeljék az IKT-vonatkozású eseményeket, és mérlegeljék az esetlegesen meghozandó felügyeleti intézkedéseket.

(4)

Az (EU) 2022/2554 rendelet 20. cikke (1) bekezdése a) pontjának ii. alpontjában említett bejelentési határidőknek ezért egyensúlyt kell teremteniük annak szükségessége között, hogy az illetékes hatóságok gyorsan megkapják az információkat, és hogy a pénzügyi szervezeteknek elegendő idő álljon rendelkezésükre a teljeskörű és pontos információk beszerzésére.

(5)

Figyelembe véve az (EU) 2022/2554 rendelet 20. cikke (1) bekezdésének a) pontjában meghatározott kritériumokat, a bejelentési határidők nem róhatnak aránytalan terhet a mikrovállalkozásokra és más, nem jelentős pénzügyi szervezetekre. A pénzügyi szervezetekre nehezedő aránytalan terhek elkerülése érdekében továbbá a bejelentési határidők meghatározása során figyelembe kell venni a hétvégéket és a munkaszüneti napokat.

(6)

Mivel a jelentős kiberfenyegetésekről szóló értesítéseket önkéntes alapon nyújtják be, az ilyen értesítések tartalma nem róhat terhet a pénzügyi szervezetekre, és korlátozottabbnak kell lennie, mint a jelentős IKT-vonatkozású események esetében kért információk.

(7)

Ez a rendelet az európai felügyeleti hatóságok által a Bizottsághoz benyújtott szabályozástechnikai standardtervezeteken alapul.

(8)

Az európai felügyeleti hatóságok nyilvános konzultációt folytattak az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezték az esetleges kapcsolódó költségeket és hasznot, továbbá kikérték az 1093/2010/EU (3), az 1094/2010/EU (4) és az 1095/2010/EU európai parlamenti és tanácsi rendelet (5) 37. cikkével összhangban létrehozott érdekképviseleti csoportok tanácsát.

(9)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (6) 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki 2024. július 22-én kedvező véleményt nyilvánított. A személyes adatok e rendelet hatálya alá tartozó kezelését az (EU) 2018/1725 rendelet alkalmazandó adatvédelmi elveivel és rendelkezéseivel összhangban kell végezni,

a)

a beadvány típusa (kezdeti értesítés, időközi jelentés vagy zárójelentés);

b)

a pénzügyi szervezet neve, jogalany-azonosító kódja (LEI), valamint a pénzügyi szervezetnek az (EU) 2022/2554 rendelet 2. cikkének (1) bekezdésében említettek szerinti típusa;

c)

annak a szervezetnek a neve és azonosító kódja, amely a pénzügyi szervezetre vonatkozóan a kezdeti értesítést, illetve az időközi vagy zárójelentést benyújtja;

d)

adott esetben az összesített kezdeti értesítésben, időközi jelentésben, illetve zárójelentésben foglalt valamennyi pénzügyi szervezet neve és LEI-kódja;

e)

az illetékes hatósággal a jelentős IKT-vonatkozású eseménnyel kapcsolatos kommunikációért felelős személyek elérhetősége;

f)

adott esetben a csoport anyavállalatának azonosítása, amelyhez a pénzügyi szervezet tartozik;

g)

amennyiben az eseménynek van pénzügyi hatása, az a pénznem, amelyben az összegek szerepelnek.

a)

a pénzügyi szervezet által az eseményhez rendelt hivatkozási kód;

b)

az esemény észlelésének dátuma, észlelésének időpontja és osztályozása a (EU) 2024/1772 felhatalmazáson alapuló bizottsági rendelet (7) 8. cikkével összhangban;

c)

az IKT-vonatkozású esemény ismertetése;

d)

az (EU) 2024/1772 felhatalmazáson alapuló rendelet 1–8. cikkében meghatározott kritériumok, amelyek alapján a pénzügyi szervezet az IKT-vonatkozású eseményt jelentősnek minősítette;

e)

az IKT-vonatkozású esemény által érintett tagállamok;

f)

arra vonatkozó információ, hogy miként fedezték fel az IKT-vonatkozású eseményt;

g)

az IKT-vonatkozású esemény eredetére vonatkozó információ (amennyiben rendelkezésre áll);

h)

arra vonatkozó információ, hogy a pénzügyi szervezet aktivált-e üzletmenet-folytonossági tervet;

i)

adott esetben az IKT-vonatkozású esemény osztályozásának jelentősről nem jelentősre történő módosítására vonatkozó információ;

j)

minden egyéb lényeges információ (amennyiben rendelkezésre áll).

a)

adott esetben az illetékes hatóság által az eseményhez rendelt hivatkozási kód;

b)

az IKT-vonatkozású esemény előfordulásának dátuma és időpontja;

c)

adott esetben az a dátum és időpont, amikor a pénzügyi szervezet helyreállította rendes tevékenységét;

d)

arra vonatkozó információ, hogy milyen módon teljesültek az (EU) 2024/1772 felhatalmazáson alapuló rendelet 1–8. cikkében meghatározott kritériumok, amelyek alapján a pénzügyi szervezet az IKT-vonatkozású eseményt jelentősnek minősítette;

e)

az IKT-vonatkozású esemény típusa;

f)

adott esetben a fenyegetések és a fenyegető szereplő által alkalmazott technikák;

g)

az érintett funkcionális területek és üzleti folyamatok;

h)

az üzleti folyamatokat támogató, érintett infrastrukturális elemek;

i)

az ügyfelek pénzügyi érdekeire gyakorolt hatás;

j)

az IKT-vonatkozású eseményről más hatóságoknak történt bejelentésre vonatkozó információk;

k)

a pénzügyi szervezet által az IKT-vonatkozású esemény utáni helyreállás érdekében tett vagy tervezett ideiglenes lépések vagy intézkedések;

l)

adott esetben a fertőzöttségi mutatókra vonatkozó információk.

a)

az IKT-vonatkozású esemény kiváltó okaira vonatkozó információ;

b)

az IKT-vonatkozású esemény megoldásának és a kiváltó oka(i) kezelésének dátuma és időpontja;

c)

az IKT-vonatkozású esemény megoldására vonatkozó információk;

d)

adott esetben a szanálási hatóságok számára releváns információk;

e)

az IKT-vonatkozású eseményből eredő közvetlen és közvetett költségekre és veszteségekre vonatkozó információk, valamint a megtérülésekre vonatkozó információk;

f)

adott esetben az ismétlődő IKT-vonatkozású eseményekre vonatkozó információk.

a)

a bejelentő pénzügyi szervezetre vonatkozó, az 1. cikkben meghatározottak szerinti általános információk;

b)

a jelentős kiberfenyegetés észlelésének dátuma és időpontja, valamint a jelentős kiberfenyegetéssel kapcsolatos egyéb releváns időbélyegzők;

c)

a jelentős kiberfenyegetés ismertetése;

d)

a jelentős kiberfenyegetésnek a pénzügyi szervezetre, annak ügyfeleire vagy pénzügyi partnereire gyakorolt lehetséges hatására vonatkozó információk;

e)

az (EU) 2024/1772 felhatalmazáson alapuló rendelet 1–8. cikkében meghatározott azon osztályozási kritériumok, amelyek alapján a kiberfenyegetés megvalósulása esetén jelentős eseményről szóló bejelentést kellett volna tenni;

f)

a jelentős kiberfenyegetés állapotára és a fenyegetést jelentő tevékenységben bekövetkezett változásokra vonatkozó információk;

g)

adott esetben a pénzügyi szervezet által a jelentős kiberfenyegetések megvalósulásának megelőzése érdekében tett intézkedések leírása;

h)

más pénzügyi szervezeteknek vagy hatóságoknak a jelentős kiberfenyegetéssel kapcsolatos értesítésére vonatkozó információk;

i)

adott esetben a fertőzöttségi mutatókra vonatkozó információk;

j)

minden egyéb lényeges információ (amennyiben rendelkezésre áll).