(1)

siekiant užtikrinti, kad Reglamento (ES) 2022/2554 19 straipsnio 4 dalyje nurodyti pranešimo apie didelius su IRT susijusius incidentus reikalavimai būtų suderinti ir racionalizuoti, pranešimo apie didelius su IRT susijusius incidentus terminai turėtų būti nuosekliai taikomi visų rūšių finansų sektoriaus subjektams. Dėl šių priežasčių terminai taip pat turėtų kuo labiau atitikti Europos Parlamento ir Tarybos direktyvoje (ES) 2022/2555 (2) nustatytus reikalavimus ir būti bent jiems lygiaverčiai;

(2)

siekiant išvengti nereikalingos pranešimo naštos finansų sektoriaus subjektams tuo metu, kai jie šalina su IRT susijusį incidentą, pradinio pranešimo turinys turėtų apsiriboti svarbiausia informacija. Kad galėtų imtis tinkamų priežiūros veiksmų, kompetentingos institucijos turi gauti informaciją apie didelius su IRT susijusius incidentus kuo greičiau po to, kai finansų sektoriaus subjektas su IRT susijusį incidentą priskiria dideliems incidentams. Todėl pradinio pranešimo, nurodyto Reglamento (ES) 2022/2554 19 straipsnio 4 dalies a punkte, pateikimo terminas turėtų būti kuo trumpesnis po to, kai su IRT susijęs incidentas priskiriamas dideliems incidentams, kartu vis tiek suteikiant lankstumo, ypač kai taikomi paslaugų verslo modeliai, kuriems laikas nėra ypač svarbus, jei finansų sektoriaus subjektams, sužinojusiems apie su IRT susijusį incidentą, reikia daugiau laiko jam pašalinti;

(3)

gavusios pradinį pranešimą, kompetentingos institucijos išsamesnės informacijos apie su IRT susijusį incidentą turėtų gauti tarpiniame pranešime, o visą susijusią informaciją – galutiniame pranešime. Turėdamos tuose pranešimuose pateiktą informaciją kompetentingos institucijos turėtų galėti geriau įvertinti su IRT susijusį incidentą ir priežiūros veiksmus, kurių jos gali norėti imtis;

(4)

todėl nustatant Reglamento (ES) 2022/2554 20 straipsnio pirmos pastraipos a punkto ii papunktyje nurodytus pranešimų pateikimo terminus turėtų būti derinamas kompetentingų institucijų poreikis greitai gauti informaciją ir finansų sektoriaus subjektų poreikis turėti pakankamai laiko gauti išsamią ir tikslią informaciją;

(5)

atsižvelgiant į Reglamento (ES) 2022/2554 20 straipsnio pirmos pastraipos a punkte nustatytus kriterijus, nustatytais pranešimų pateikimo terminais labai mažoms įmonėms ir kitiems finansų sektoriaus subjektams, kurie nėra dideli, neturėtų būti užkraunama neproporcinga našta. Be to, kad būtų išvengta neproporcingos naštos finansų sektoriaus subjektams, nustatant pranešimų pateikimo terminus turėtų būti atsižvelgiama į savaitgalius ir švenčių dienas;

(6)

kadangi apie dideles kibernetines grėsmes turi būti pranešama savanoriškai, tokių pranešimų turinys neturėtų tapti finansų sektoriaus subjektams našta ir turėtų būti labiau apribotas, palyginti su informacija, kurią prašoma pateikti pranešant apie didelius su IRT susijusius incidentus;

(7)

šis reglamentas grindžiamas techninių reguliavimo standartų projektais, kuriuos Komisijai pateikė Europos priežiūros institucijos;

(8)

Europos priežiūros institucijos dėl techninių reguliavimo standartų projektų, kuriais pagrįstas šis reglamentas, surengė atviras viešas konsultacijas, išnagrinėjo galimas susijusias sąnaudas ir naudą ir paprašė suinteresuotųjų subjektų grupių, įsteigtų pagal Europos Parlamento ir Tarybos reglamentų (ES) Nr. 1093/2010 (3), (ES) Nr. 1094/2010 (4) ir (ES) Nr. 1095/2010 (5) 37 straipsnį, patarimo;

(9)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (6) 42 straipsnio 1 dalimi, buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis pateikė teigiamą nuomonę 2024 m. liepos 22 d. Bet koks asmens duomenų tvarkymas pagal šį reglamentą turėtų būti atliekamas laikantis Reglamente (ES) 2018/1725 nustatytų taikytinų duomenų apsaugos principų ir nuostatų,

a)

pranešimo rūšį (pradinis pranešimas, tarpinis pranešimas arba galutinis pranešimas);

b)

finansų sektoriaus subjekto pavadinimą, jo LEI kodą ir finansų sektoriaus subjekto rūšį, nurodytą Reglamento (ES) 2022/2554 2 straipsnio 1 dalyje;

c)

subjekto, teikiančio pradinį pranešimą arba tarpinį arba galutinį pranešimą, pavadinimą ir identifikavimo kodą;

d)

kai taikytina, visų finansų sektoriaus subjektų, įtrauktų į bendrą pradinį pranešimą arba tarpinį arba galutinį pranešimą, pavadinimus ir LEI kodus;

e)

asmenų, atsakingų už ryšių su kompetentinga institucija didelio su IRT susijusio incidento klausimais palaikymą, kontaktinius duomenis;

f)

kai taikytina, grupės, kuriai priklauso finansų sektoriaus subjektas, patronuojančiosios įmonės identifikavimo duomenis;

g)

kai yra piniginis poveikis, valiutą, kuria išreikštos sumos.

a)

finansų sektoriaus subjekto incidentui suteiktas kodas;

b)

incidento aptikimo data, jo aptikimo laikas ir klasifikacija pagal Komisijos deleguotojo reglamento (ES) 2024/1772 (7) 8 straipsnį;

c)

su IRT susijusio incidento aprašymas;

d)

Deleguotojo reglamento (ES) 2024/1772 1–8 straipsniuose nustatyti kriterijai, kuriais remdamasis finansų sektoriaus subjektas su IRT susijusį incidentą klasifikavo kaip didelį;

e)

valstybės narės, kurioms su IRT susijęs incidentas daro poveikį;

f)

informacija apie tai, kaip buvo nustatytas su IRT susijęs incidentas;

g)

jei turima, informacija apie su IRT susijusio incidento kilmę;

h)

informacija apie tai, ar finansų sektoriaus subjektas pradėjo įgyvendinti veiklos tęstinumo planą;

i)

kai taikytina, informacija apie su IRT susijusio incidento perklasifikavimą iš didelio į nedidelį;

j)

jei turima, bet kokia kita svarbi informacija.

a)

jei taikytina, kompetentingos institucijos incidentui suteiktas kodas;

b)

data ir laikas, kai įvyko su IRT susijęs incidentas;

c)

kai taikytina, data ir laikas, kai finansų sektoriaus subjektas atkūrė savo įprastą veiklą;

d)

informacija apie atitiktį kriterijams, nustatytiems Deleguotojo reglamento (ES) 2024/1772 1–8 straipsniuose, kuriais remdamasis finansų sektoriaus subjektas su IRT susijusį incidentą klasifikavo kaip didelį;

e)

su IRT susijusio incidento rūšis;

f)

kai taikytina, priešiško subjekto keliamos grėsmės ir naudojami metodai;

g)

paveiktos funkcinės sritys ir veiklos procesai;

h)

paveikti infrastruktūros komponentai, kuriais palaikomi veiklos procesai;

i)

poveikis klientų finansiniams interesams;

j)

informacija apie pranešimą apie su IRT susijusį incidentą kitoms institucijoms;

k)

laikini veiksmai arba priemonės, kurių finansų sektoriaus subjektas ėmėsi arba planuoja imtis, siekdamas atkurti veiklą po su IRT susijusio incidento;

l)

kai taikytina, informacija apie užvaldymo rodiklius.

a)

informacija apie pagrindines su IRT susijusio incidento priežastis;

b)

su IRT susijusio incidento išsprendimo ir pagrindinės priežasties (-ių) pašalinimo datos ir laikas;

c)

informacija apie su IRT susijusio incidento išsprendimą;

d)

kai taikytina, pertvarkymo institucijoms svarbi informacija;

e)

informacija apie tiesiogines ir netiesiogines išlaidas ir nuostolius, patirtus dėl su IRT susijusio incidento, ir informacija apie lėšų susigrąžinimą;

f)

kai taikytina, informacija apie pasikartojančius su IRT susijusius incidentus.

a)

1 straipsnyje nustatytą bendrą informaciją apie pranešimą teikiantį finansų sektoriaus subjektą;

b)

didelės kibernetinės grėsmės aptikimo datą ir laiką ir visas kitas svarbias laiko žymas, susijusias su didele kibernetine grėsme;

c)

didelės kibernetinės grėsmės aprašymą;

d)

informaciją apie galimą didelės kibernetinės grėsmės poveikį finansų sektoriaus subjektui, jo klientams ar finansų partneriams;

e)

Deleguotojo reglamento (ES) 2024/1772 1–8 straipsniuose nustatytus klasifikavimo kriterijus, kuriais remiantis būtų buvęs pateiktas pranešimas apie didelį incidentą, jei kibernetinė grėsmė būtų pasitvirtinusi;

f)

informaciją apie didelės kibernetinės grėsmės padėtį ir visus su grėsme susijusios veiklos pokyčius;

g)

kai taikytina, veiksmų, kurių ėmėsi finansų sektoriaus subjektas, kad užkirstų kelią didelių kibernetinių grėsmių pasitvirtinimui, aprašymą;

h)

informaciją apie bet kokį pranešimą apie didelę kibernetinę grėsmę, pateiktą kitiems finansų sektoriaus subjektams ar institucijoms;

i)

kai taikytina, informaciją apie užvaldymo rodiklius;

j)

jei turima, bet kokią kitą svarbią informaciją.