(1)

Om de harmonisatie en vereenvoudiging van de kennisgevings- en rapportagevereisten voor ernstige ICT-gerelateerde incidenten als bedoeld in artikel 19, lid 4, van Verordening (EU) 2022/2554 te waarborgen, moeten de rapportagetermijnen van ernstige ICT-gerelateerde incidenten een voor alle soorten financiële entiteiten consistente aanpak volgen. Om deze redenen moeten de termijnen ook zo veel mogelijk in overeenstemming zijn met en ten minste gelijkwaardig zijn aan de vereisten van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad (2).

(2)

Om een onnodige rapportagedruk op financiële entiteiten bij de behandeling van het ICT-gerelateerde incident te voorkomen, moet de inhoud van de eerste kennisgeving worden beperkt tot de meest significante informatie. Om passende toezichtmaatregelen te kunnen nemen, moeten bevoegde autoriteiten zo snel mogelijk nadat de financiële entiteit een ICT-gerelateerd incident als ernstig heeft aangemerkt, informatie over het ernstige ICT-gerelateerde incident ontvangen. Bijgevolg moet de indieningstermijn van een eerste kennisgeving als bedoeld in artikel 19, lid 4, punt a), van Verordening (EU) 2022/2554 zo kort mogelijk nadat een ICT-gerelateerd incident als ernstig is aangemerkt, vallen maar tegelijkertijd ruimte laten voor flexibiliteit, met name voor bedrijfsmodellen voor dienstverlening die niet bijzonder tijdkritisch zijn, indien financiële entiteiten meer tijd nodig hebben om het ICT-gerelateerde incident te behandelen nadat zij er kennis van hebben gekregen.

(3)

Na ontvangst van de eerste kennisgeving moeten de bevoegde autoriteiten in het tussentijdse verslag nadere informatie over het ICT-gerelateerde incident en in het eindverslag alle relevante informatie ontvangen. De informatie in die verslagen moet de bevoegde autoriteiten in staat stellen het ICT-gerelateerde incident verder te beoordelen en de toezichtmaatregelen te evalueren die zij eventueel willen nemen.

(4)

De in artikel 20, eerste alinea, punt a), ii), van Verordening (EU) 2022/2554 bedoelde rapportagetermijnen moeten daarom een evenwicht vormen tussen de noodzaak voor de bevoegde autoriteiten om de informatie snel te ontvangen, en de noodzaak om financiële entiteiten voldoende tijd te geven om volledige en nauwkeurige informatie te verkrijgen.

(5)

Rekening houdend met de criteria van artikel 20, eerste alinea, punt a), van Verordening (EU) 2022/2554 mogen de rapportagetermijnen geen onevenredige last vormen voor micro-ondernemingen en andere financiële entiteiten die niet significant zijn. Bovendien moet, om te voorkomen dat de rapportagetermijnen een onevenredige last vormen voor financiële entiteiten, rekening worden gehouden met het weekeinde en met feestdagen.

(6)

Omdat van significante cyberdreigingen kennisgeving mag worden gedaan op vrijwillige basis, mag de inhoud van dergelijke kennisgevingen geen last vormen voor financiële entiteiten en moet deze beperkter blijven dan de informatie die voor ernstige ICT-gerelateerde incidenten wordt gevraagd.

(7)

Deze verordening berust op de ontwerpen van technische reguleringsnormen die de Europese toezichthoudende autoriteiten bij de Commissie hebben ingediend.

(8)

De Europese toezichthoudende autoriteiten hebben open publieke raadplegingen gehouden over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, hebben de mogelijke daaraan verbonden kosten en baten geanalyseerd en hebben het advies ingewonnen van de bij artikel 37 van Verordeningen (EU) nr. 1093/2010 (3), (EU) nr. 1094/2010 (4) en (EU) nr. 1095/2010 (5) van het Europees Parlement en de Raad opgerichte stakeholdergroepen.

(9)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (6) en heeft op 22 juli 2024 een positief advies uitgebracht. Elke verwerking van persoonsgegevens die binnen het toepassingsgebied van deze verordening valt, moet plaatsvinden in overeenstemming met de toepasselijke beginselen inzake gegevensbescherming en de bepalingen van Verordening (EU) 2018/1725,

a)

de soort indiening (eerste kennisgeving, tussentijds verslag of eindverslag);

b)

de naam van de financiële entiteit, haar LEI-code en de soort financiële entiteit als bedoeld in artikel 2, lid 1, van Verordening (EU) 2022/2554;

c)

de naam en identificatiecode van de entiteit die de eerste kennisgeving of het tussentijdse of het eindverslag voor de financiële entiteit indient;

d)

indien van toepassing, de namen en LEI-codes van alle financiële entiteiten waarop de geaggregeerde eerste kennisgeving of het geaggregeerde tussentijdse of eindverslag betrekking heeft;

e)

de contactgegevens van de personen die verantwoordelijk zijn voor de communicatie met de bevoegde autoriteit over het ernstige ICT-gerelateerde incident;

f)

in voorkomend geval, de identificatie van de moederonderneming van de groep waartoe de financiële entiteit behoort;

g)

wanneer er sprake is van monetaire gevolgen, de valuta waarop de bedragen zijn gebaseerd.

a)

de door de financiële entiteit toegekende referentiecode van het incident;

b)

de datum van detectie, het tijdstip van detectie en de classificatie van het incident overeenkomstig artikel 8 van Gedelegeerde Verordening (EU) 2024/1772 van de Commissie (7);

c)

een beschrijving van het ICT-gerelateerde incident;

d)

de criteria van de artikelen 1 tot en met 8 van Gedelegeerde Verordening (EU) 2024/1772 op basis waarvan de financiële entiteit het ICT-gerelateerde incident als ernstig heeft geclassificeerd;

e)

de lidstaten die door het ICT-gerelateerde incident worden getroffen;

f)

informatie over de wijze waarop het ICT-gerelateerde incident is ontdekt;

g)

indien beschikbaar, informatie over de oorsprong van het ICT-gerelateerde incident;

h)

informatie over de vraag of de financiële entiteit een bedrijfscontinuïteitsplan heeft geactiveerd;

i)

indien van toepassing, informatie over de herclassificatie van het ICT-gerelateerde incident van ernstig naar niet-ernstig;

j)

indien beschikbaar, alle andere relevante informatie.

a)

indien van toepassing, de door de bevoegde autoriteit verstrekte referentiecode van het incident;

b)

de datum en het tijdstip waarop het ICT-gerelateerde incident zich heeft voorgedaan;

c)

indien van toepassing, de datum en het tijdstip waarop de financiële entiteit haar reguliere activiteiten heeft hersteld;

d)

informatie over de wijze waarop aan de criteria van de artikelen 1 tot en met 8 van Gedelegeerde Verordening (EU) 2024/1772 is voldaan, op basis waarvan de financiële entiteit het ICT-gerelateerde incident als ernstig heeft geclassificeerd;

e)

de soort ICT-gerelateerd incident;

f)

indien van toepassing, de dreigingen en technieken die door de dreigingsactor zijn gebruikt;

g)

de getroffen functionele gebieden en bedrijfsprocessen;

h)

de getroffen infrastructuurcomponenten ter ondersteuning van bedrijfsprocessen;

i)

de gevolgen voor de financiële belangen van cliënten;

j)

informatie over de rapportage over het ICT-gerelateerde incident aan andere autoriteiten;

k)

tijdelijke acties of maatregelen die de financiële entiteit heeft genomen of gepland om te herstellen van het ICT-gerelateerde incident;

l)

indien van toepassing, informatie over indicatoren voor aantasting.

a)

informatie over de onderliggende oorzaken van het ICT-gerelateerde incident;

b)

de datums en tijdstippen waarop het ICT-gerelateerde incident is opgelost en de onderliggende oorzaak of oorzaken is of zijn aangepakt;

c)

informatie over de oplossing van het ICT-gerelateerde incident;

d)

in voorkomend geval, informatie die relevant is voor afwikkelingsautoriteiten;

e)

informatie over directe en indirecte kosten en verliezen die voortvloeien uit het ICT-gerelateerde incident en informatie over financiële terugvorderingen;

f)

indien van toepassing, informatie over terugkerende ICT-gerelateerde incidenten.

a)

algemene informatie over de kennisgevende financiële entiteit als bedoeld in artikel 1;

b)

de datum en het tijdstip van detectie van de significante cyberdreiging en alle andere relevante tijdstempels in verband met de significante cyberdreiging;

c)

een beschrijving van de significante cyberdreiging;

d)

informatie over de mogelijke gevolgen van de significante cyberdreiging voor de financiële entiteit, haar cliënten of financiële tegenpartijen;

e)

de in de artikelen 1 tot en met 8 van Gedelegeerde Verordening (EU) 2024/1772 vastgelegde classificatiecriteria die aanleiding zouden hebben gegeven tot de rapportage van een ernstig incident indien de cyberdreiging werkelijkheid was geworden;

f)

informatie over de status van de significante cyberdreiging en eventuele wijzigingen in de dreigingsactiviteit;

g)

indien van toepassing, een beschrijving van de maatregelen die de financiële entiteit heeft genomen om te voorkomen dat de significante cyberdreigingen werkelijkheid worden;

h)

informatie over elke kennisgeving van de significante cyberdreiging aan andere financiële entiteiten of autoriteiten;

i)

indien van toepassing, informatie over indicatoren voor aantasting;

j)

indien beschikbaar, alle andere relevante informatie.