(1)

Aby zapewnić harmonizację i uproszczenie wymogów dotyczących przedkładania powiadomień i sprawozdań w odniesieniu do poważnych incydentów związanych z ICT, o których to powiadomieniach i sprawozdaniach mowa w art. 19 ust. 4 rozporządzenia (UE) 2022/2554, terminy zgłaszania poważnych incydentów związanych z ICT powinny być spójne dla wszystkich rodzajów podmiotów finansowych. Z tych względów terminy te powinny być również, w jak największym stopniu, spójne z wymogami określonymi w dyrektywie Parlamentu Europejskiego i Rady (UE) 2022/2555, a przynajmniej być im równoważne (2).

(2)

Aby uniknąć nakładania nadmiernych obciążeń sprawozdawczych na podmioty finansowe w czasie, gdy obsługują one incydent związany z ICT, treść wstępnego powiadomienia powinna być ograniczona do najistotniejszych informacji. Aby móc podjąć odpowiednie działania nadzorcze, właściwe organy muszą otrzymywać informacje o poważnych incydentach związanych z ICT jak najszybciej po sklasyfikowaniu incydentu związanego z ICT przez podmiot finansowy jako poważny. W związku z tym termin przedłożenia wstępnego powiadomienia, o którym mowa w art. 19 ust. 4 lit. a) rozporządzenia (UE) 2022/2554, powinien być jak najkrótszy, licząc od momentu sklasyfikowania incydentu związanego z ICT jako poważny, przy jednoczesnym zapewnieniu elastyczności – zwłaszcza w przypadku usługowych modeli biznesowych, w których czas nie jest szczególnie krytyczny – na wypadek gdyby podmioty finansowe potrzebowały więcej czasu na obsługę incydentu związanego z ICT po dowiedzeniu się o nim.

(3)

Po otrzymaniu wstępnego powiadomienia właściwe organy powinny otrzymać bardziej szczegółowe informacje na temat incydentu związanego z ICT w sprawozdaniu śródokresowym oraz wszystkie istotne informacje w sprawozdaniu końcowym. Informacje zawarte w tych sprawozdaniach powinny umożliwić właściwym organom dalszą ocenę incydentu związanego z ICT oraz analizę działań nadzorczych, które mogą chcieć podjąć.

(4)

W terminach zgłaszania, o których mowa w art. 20 akapit pierwszy lit. a) pkt (ii) rozporządzenia (UE) 2022/2554, należy zatem zrównoważyć potrzebę szybkiego otrzymywania informacji przez właściwe organy z potrzebą zapewnienia podmiotom finansowym wystarczającego czasu na uzyskanie pełnych i dokładnych informacji.

(5)

Biorąc pod uwagę kryteria określone w art. 20 akapit pierwszy lit. a) rozporządzenia (UE) 2022/2554, terminy zgłaszania nie powinny stanowić nieproporcjonalnego obciążenia dla mikroprzedsiębiorstw i innych podmiotów finansowych, które nie są istotne. Ponadto, aby uniknąć nieproporcjonalnego obciążenia podmiotów finansowych, terminy zgłaszania powinny uwzględniać weekendy i dni wolne od pracy.

(6)

Ponieważ powiadamianie o znaczących cyberzagrożeniach ma odbywać się na zasadzie dobrowolności, treść takich powiadomień nie powinna nakładać obciążeń na podmioty finansowe i powinna być bardziej ograniczona niż informacje wymagane w przypadku poważnych incydentów związanych z ICT.

(7)

Podstawę niniejszego rozporządzenia stanowi projekt regulacyjnych standardów technicznych przedłożony Komisji przez Europejskie Urzędy Nadzoru.

(8)

Europejskie Urzędy Nadzoru przeprowadziły otwarte konsultacje społeczne na temat projektu regulacyjnych standardów technicznych stanowiących podstawę niniejszego rozporządzenia, dokonały analizy kosztów i korzyści, które są z nimi potencjalnie związane, oraz zasięgnęły porady grup interesariuszy ustanowionych zgodnie z art. 37 rozporządzeń Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (3), (UE) nr 1094/2010 (4) i (UE) nr 1095/2010 (5).

(9)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (6) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który w dniu 22 lipca 2024 r. wydał pozytywną opinię. Wszelkie przetwarzanie danych osobowych w ramach niniejszego rozporządzenia powinno odbywać się zgodnie z mającymi zastosowanie zasadami i przepisami dotyczącymi ochrony danych określonymi w rozporządzeniu (UE) 2018/1725,

a)

rodzaj zgłoszenia (wstępne powiadomienie, sprawozdanie śródokresowe lub sprawozdanie końcowe);

b)

nazwę podmiotu finansowego, jego kod LEI oraz rodzaj podmiotu finansowego, zgodnie z art. 2 ust. 1 rozporządzenia (UE) 2022/2554;

c)

nazwę i kod identyfikacyjny podmiotu, który przedkłada w imieniu podmiotu finansowego wstępne powiadomienie lub sprawozdanie śródokresowe lub sprawozdanie końcowe;

d)

w stosownych przypadkach nazwy i kody LEI wszystkich podmiotów finansowych objętych zbiorczym wstępnym powiadomieniem lub zbiorczym sprawozdaniem śródokresowym lub zbiorczym sprawozdaniem końcowym;

e)

dane kontaktowe osób odpowiedzialnych za komunikację z właściwym organem w sprawie poważnego incydentu związanego z ICT;

f)

w stosownych przypadkach dane identyfikacyjne jednostki dominującej grupy, do której należy dany podmiot finansowy;

g)

w przypadku skutków pieniężnych – waluta, na której opierają się kwoty.

a)

kod referencyjny incydentu nadany przez podmiot finansowy;

b)

datę wykrycia, godzinę wykrycia i klasyfikację incydentu zgodnie z art. 8 rozporządzenia delegowanego Komisji (UE) 2024/1772 (7);

c)

opis incydentu związanego z ICT;

d)

kryteria określone w art. 1–8 rozporządzenia delegowanego (UE) 2024/1772, na podstawie których podmiot finansowy sklasyfikował incydent związany z ICT jako poważny;

e)

państwa członkowskie, na które incydent związany z ICT ma wpływ;

f)

informacje o tym, w jaki sposób incydent związany z ICT został wykryty;

g)

informacje o pochodzeniu incydentu związanego z ICT, o ile są dostępne;

h)

informacje o tym, czy podmiot finansowy uruchomił plan ciągłości działania;

i)

w stosownych przypadkach informacje na temat zmiany klasyfikacji incydentu związanego z ICT z poważnego na inny niż poważny;

j)

wszelkie inne istotne informacje, jeżeli są dostępne.

a)

w stosownych przypadkach kod referencyjny incydentu przekazany przez właściwy organ;

b)

datę i godzinę wystąpienia incydentu związanego z ICT;

c)

w stosownych przypadkach datę i godzinę odzyskania przez podmiot finansowy sprawności w zakresie regularnej działalności;

d)

informacje, w jaki sposób zostały spełnione kryteria określone w art. 1–8 rozporządzenia delegowanego (UE) 2024/1772, na podstawie których podmiot finansowy sklasyfikował incydent związany z ITC jako poważny;

e)

rodzaj incydentu związanego z ICT;

f)

w stosownych przypadkach zagrożenia i techniki stosowane przez agresora;

g)

obszary funkcjonalne i procesy biznesowe, których dotyczy incydent związany z ICT;

h)

wspierające procesy biznesowe elementy infrastruktury, których dotyczy incydent związany z ICT;

i)

wpływ na interesy finansowe klientów;

j)

informacje na temat zgłoszenia incydentu związanego z ICT innym organom;

k)

tymczasowe działania lub środki wprowadzone lub planowane przez podmiot finansowy w celu przywrócenia sprawności po incydencie związanym z ICT;

l)

w stosownych przypadkach informacje na temat oznak naruszenia integralności systemu.

a)

informacje na temat podstawowych przyczyn incydentu związanego z ICT;

b)

daty i godziny rozwiązania incydentu związanego z ICT oraz wyeliminowania podstawowych przyczyn;

c)

informacje na temat rozwiązania incydentu związanego z ICT;

d)

w stosownych przypadkach informacje istotne dla organów ds. restrukturyzacji i uporządkowanej likwidacji;

e)

informacje na temat bezpośrednich i pośrednich kosztów i strat wynikających z incydentu związanego z ICT oraz informacje o odzyskanych środkach finansowych;

f)

w stosownych przypadkach informacje o powtarzających się incydentach związanych z ICT.

a)

ogólne informacje o powiadamiającym podmiocie finansowym, jak określono w art. 1;

b)

datę i godzinę wykrycia znaczącego cyberzagrożenia oraz wszelkie inne istotne znaczniki czasu związane ze znaczącym cyberzagrożeniem;

c)

opis znaczącego cyberzagrożenia;

d)

informacje na temat potencjalnego wpływu znaczącego cyberzagrożenia na podmiot finansowy, jego klientów lub kontrahentów finansowych;

e)

kryteria klasyfikacji, określone w art. 1–8 rozporządzenia delegowanego (UE) 2024/1772, które – gdyby cyberzagrożenie się urzeczywistniło – spowodowałyby zgłoszenie poważnego incydentu;

f)

informacje na temat statusu znaczącego cyberzagrożenia i wszelkich zmian w zagrożeniu;

g)

w stosownych przypadkach opis działań podjętych przez podmiot finansowy w celu zapobieżenia urzeczywistnieniu się znaczących cyberzagrożeń;

h)

informacje o wszelkich powiadomieniach innych podmiotów lub organów finansowych o znaczącym cyberzagrożeniu;

i)

w stosownych przypadkach informacje na temat oznak naruszenia integralności systemu;

j)

wszelkie inne istotne informacje, jeżeli są dostępne.