(1)

Regulamentul (UE) 2022/2554 acoperă o gamă largă de entități financiare care diferă în ceea ce privește dimensiunea, structura, organizarea internă și natura și complexitatea activităților lor și care, prin urmare, prezintă elemente de complexitate sau riscuri sporite sau reduse. Pentru a se asigura că această varietate este luată în considerare în mod corespunzător, orice cerință referitoare la politicile, procedurile, protocoalele și instrumentele de securitate TIC și la un cadru simplificat de gestionare a riscurilor TIC ar trebui să fie proporțională cu dimensiunea, structura, organizarea internă, natura și complexitatea entităților financiare respective, precum și cu riscurile aferente.

(2)

Din același motiv, entitățile financiare care fac obiectul Regulamentului (UE) 2022/2554 ar trebui să beneficieze de o anumită flexibilitate în ceea ce privește modul în care respectă orice cerință referitoare la politicile, procedurile, protocoalele și instrumentele de securitate TIC și la orice cadru simplificat de gestionare a riscurilor TIC. Din acest motiv, entităților financiare ar trebui să li se permită să utilizeze orice documentație pe care o au deja pentru a se conforma cerințelor în materie de documentație care decurg din cerințele respective. Prin urmare, ar trebui să se impună elaborarea, documentarea și punerea în aplicare a unor politici specifice de securitate TIC numai pentru anumite elemente esențiale, ținând seama, printre altele, de cele mai avansate practici și standarde din sector. În plus, pentru a acoperi aspectele tehnice specifice de punere în aplicare, este necesar să se elaboreze, să se documenteze și să se pună în aplicare proceduri de securitate TIC care să acopere aspectele tehnice specifice de punere în aplicare, inclusiv gestionarea capacității și a performanței, gestionarea vulnerabilităților și a corecțiilor, securitatea datelor și a sistemului, precum și jurnalizarea.

(3)

Pentru se a asigura punerea în aplicare corectă de-a lungul timpului a politicilor, procedurilor, protocoalelor și instrumentelor de securitate TIC menționate în titlul II capitolul I din prezentul regulament, este important ca entitățile financiare să atribuie și să mențină în mod corect orice roluri și responsabilități legate de securitatea TIC și să stabilească consecințele nerespectării politicilor sau procedurilor de securitate TIC.

(4)

Pentru a limita riscul de conflicte de interese, entitățile financiare ar trebui să asigure separarea sarcinilor atunci când atribuie roluri și responsabilități TIC.

(5)

Pentru asigurarea flexibilității și pentru simplificarea cadrului de control al entităților financiare, entitățile financiare nu ar trebui să aibă obligația de a elabora dispoziții specifice privind consecințele nerespectării politicilor, procedurilor și protocoalelor de securitate TIC menționate în titlul II capitolul I din prezentul regulament, în cazul în care astfel de dispoziții sunt deja stabilite în cadrul unei alte politici sau proceduri.

(6)

Într-un mediu dinamic, în care riscurile TIC evoluează în mod constant, este important ca entitățile financiare să își dezvolte setul de politici de securitate TIC pe baza celor mai avansate practici și, după caz, a standardelor definite la articolul 2 punctul 1 din Regulamentul (UE) nr. 1025/2012 al Parlamentului European și al Consiliului (2). Acest lucru ar trebui să le permită entităților financiare menționate în titlul II din prezentul regulament să rămână informate și pregătite într-un mediu în schimbare.

(7)

Pentru a-și asigura reziliența operațională digitală, entitățile financiare menționate în titlul II din prezentul regulament ar trebui, ca parte a politicilor, procedurilor, protocoalelor și instrumentelor lor de securitate TIC, să elaboreze și să pună în aplicare o politică de gestionare a activelor TIC, proceduri de gestionare a capacității și a performanței, precum și politici și proceduri pentru operațiunile TIC. Politicile și procedurile respective sunt necesare pentru a asigura monitorizarea statutului activelor TIC pe parcursul ciclului lor de viață, astfel încât activele respective să fie utilizate și întreținute în mod eficace (gestionarea activelor TIC). Aceste politici și proceduri ar trebui să asigure, de asemenea, optimizarea funcționării sistemelor TIC și faptul că performanța sistemelor TIC și a capacității îndeplinește obiectivele stabilite în materie de securitate a activității și a informațiilor (gestionarea capacității și a performanței). În cele din urmă, aceste politici și proceduri ar trebui să asigure gestionarea și funcționarea cotidiană eficace și fără probleme a sistemelor TIC (operațiunilor TIC), reducând astfel la minimum riscul de pierdere a confidențialității, integrității și disponibilității datelor. Prin urmare, aceste politici și proceduri sunt necesare pentru a asigura securitatea rețelelor, pentru a oferi garanții adecvate împotriva intruziunilor și a utilizării abuzive a datelor și pentru a menține disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor.

(8)

Pentru a asigura gestionarea adecvată a riscurilor legate de sistemele TIC moștenite, entitățile financiare ar trebui să înregistreze și să monitorizeze datele de încetare a serviciilor de asistență TIC furnizate de terți. Din cauza impactului pe care îl poate avea pierderea confidențialității, integrității și disponibilității datelor, entitățile financiare ar trebui să se concentreze asupra activelor sau sistemelor TIC care sunt esențiale pentru funcționarea activității operaționale atunci când înregistrează și monitorizează datele de expirare a serviciilor respective.

(9)

Controalele criptografice pot asigura disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor. Prin urmare, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să identifice și să pună în aplicare astfel de controale printr-o abordare bazată pe riscuri. În acest scop, entitățile financiare ar trebui să cripteze datele în cauză în repaus, în tranzit sau, dacă este necesar, în uz, pe baza rezultatelor unui proces care conține două elemente, și anume clasificarea datelor și o evaluare cuprinzătoare a riscurilor TIC. Având în vedere complexitatea criptării datelor în uz, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să cripteze datele în uz numai în cazul în care acest lucru ar fi adecvat, având în vedere rezultatele evaluării riscurilor TIC. Cu toate acestea, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să poată, în cazul în care criptarea datelor în uz nu este fezabilă sau este prea complexă, să protejeze confidențialitatea, integritatea și disponibilitatea datelor în cauză prin alte măsuri de securitate TIC. Având în vedere evoluțiile tehnologice rapide din domeniul tehnicilor criptografice, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să rămână la curent cu evoluțiile relevante în materie de criptare și să ia în considerare cele mai avansate practici și standarde. Entitățile financiare menționate în titlul II din prezentul regulament ar trebui, prin urmare, să urmeze o abordare flexibilă, bazată pe atenuarea și monitorizarea riscurilor, pentru a face față peisajului dinamic al amenințărilor criptografice, inclusiv al amenințărilor generate de progresele tehnologiilor cuantice.

(10)

Politicile, procedurile, protocoalele și instrumentele operaționale și de securitate a operațiunilor TIC sunt esențiale pentru a asigura confidențialitatea, integritatea și disponibilitatea datelor. Un aspect esențial este separarea strictă a mediilor de producție TIC de mediile în care sunt dezvoltate și testate sistemele TIC sau de alte medii care nu au legătură cu producția. Această separare ar trebui să servească drept măsură importantă de securitate TIC împotriva accesului neintenționat și neautorizat la datele din mediul de producție, a modificărilor și a ștergerilor acestora, care ar putea duce la perturbări majore ale activităților operaționale ale entităților financiare menționate în titlul II din prezentul regulament. Cu toate acestea, având în vedere practicile actuale de dezvoltare a sistemelor TIC, entităților financiare ar trebui să li se permită, în circumstanțe excepționale, să testeze în medii de producție, cu condiția să justifice o astfel de testare și să obțină aprobarea necesară.

(11)

Evoluția rapidă inerentă peisajelor TIC, vulnerabilităților TIC și amenințărilor cibernetice necesită o abordare proactivă și cuprinzătoare pentru identificarea, evaluarea și abordarea vulnerabilităților TIC. Absența unei astfel de abordări ar putea duce la o expunere gravă la riscuri a entităților financiare, a clienților, a utilizatorilor sau a contrapărților acestora, ceea ce ar pune în pericol reziliența lor operațională digitală, securitatea rețelelor lor și disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor pe care politicile și procedurile de securitate TIC ar trebui să le protejeze. Entitățile financiare menționate în titlul II din prezentul regulament ar trebui, prin urmare, să identifice și să remedieze vulnerabilitățile mediului lor TIC și atât entitățile financiare, cât și furnizorii lor terți de servicii TIC ar trebui să adere la un cadru coerent, transparent și responsabil de gestionare a vulnerabilităților. Din același motiv, entitățile financiare ar trebui să monitorizeze vulnerabilitățile TIC utilizând resurse fiabile și instrumente automatizate, verificând dacă furnizorii terți de servicii TIC asigură luarea unor acțiuni prompte cu privire la vulnerabilitățile serviciilor TIC furnizate.

(12)

Gestionarea corecțiilor ar trebui să fie o parte esențială a politicilor și procedurilor de securitate TIC care, prin testare și implementare într-un mediu controlat, trebuie să soluționeze vulnerabilitățile identificate și să prevină perturbările cauzate de instalarea corecțiilor.

(13)

Pentru a asigura comunicarea în timp util și transparentă a potențialelor amenințări la adresa securității care ar putea avea un impact asupra entității financiare și a părților interesate ale acesteia, entitățile financiare ar trebui să stabilească proceduri pentru divulgarea responsabilă a vulnerabilităților TIC către clienți, contrapărți și public. La stabilirea procedurilor respective, entitățile financiare ar trebui să ia în considerare factori precum gravitatea vulnerabilității, impactul potențial al unei astfel de vulnerabilități asupra părților interesate și disponibilitatea unei soluții sau a unor măsuri de atenuare.

(14)

Pentru a permite atribuirea drepturilor de acces ale utilizatorilor, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să stabilească măsuri ferme care să asigure identificarea unică a persoanelor și a sistemelor care vor avea acces la informațiile entității financiare. În caz contrar, entitățile financiare ar fi expuse riscului potențial de acces neautorizat, încălcări ale securității datelor și activități frauduloase, ceea ce ar compromite confidențialitatea, integritatea și disponibilitatea datelor financiare sensibile. Deși ar trebui să se permită în mod excepțional utilizarea conturilor generice sau partajate în circumstanțe specificate de entitățile financiare, entitățile financiare ar trebui să se asigure că își păstrează răspunderea pentru acțiunile efectuate prin intermediul acestor conturi. Fără această garanție, eventualii utilizatori răuvoitori ar putea să împiedice măsurile de investigare și măsurile corective, entitățile financiare devenind astfel vulnerabile la acțiuni răuvoitoare nedetectate sau la sancțiuni pentru neconformitate.

(15)

Pentru a gestiona progresul rapid din mediile TIC, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să pună în aplicare politici și proceduri solide de gestionare a proiectelor TIC care să mențină disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor. Aceste politici și proceduri de gestionare a proiectelor TIC ar trebui să identifice elementele necesare pentru gestionarea cu succes a proiectelor TIC, inclusiv modificările, achizițiile, întreținerea și evoluțiile sistemelor TIC ale entității financiare, indiferent de metodologia de gestionare a proiectelor TIC aleasă de entitatea financiară. În contextul acestor politici și proceduri, entitățile financiare ar trebui să adopte practici și metode de testare care să corespundă nevoilor lor, respectând în același timp o abordare bazată pe riscuri și asigurând menținerea unui mediu TIC sigur, fiabil și rezilient. Pentru a garanta punerea în aplicare în condiții de siguranță a unui proiect TIC, entitățile financiare ar trebui să se asigure că personalul care lucrează în sectoare de activitate specifice sau desfășoară roluri specifice și care este influențat sau afectat de respectivul proiect TIC poate furniza informațiile și expertiza necesare. Pentru a asigura o supraveghere eficace, ar trebui să se prezinte organului de conducere rapoarte privind proiectele TIC, în special proiectele care afectează funcții critice sau importante și riscurile asociate acestora. Entitățile financiare ar trebui să adapteze frecvența și detaliile revizuirilor și rapoartelor sistematice și continue în funcție de importanța și dimensiunea proiectelor TIC în cauză.

(16)

Este necesar să se asigure că pachetele software pe care entitățile financiare menționate în titlul II din prezentul regulament le achiziționează și le dezvoltă sunt integrate în mod eficace și securizat în mediul TIC existent, în conformitate cu obiectivele stabilite în materie de securitate a activității și a informațiilor. Prin urmare, entitățile financiare ar trebui să evalueze în detaliu astfel de pachete software. În acest scop și pentru a identifica vulnerabilitățile și potențialele lacune în materie de securitate atât în cadrul pachetelor software, cât și al sistemelor TIC mai ample, entitățile financiare ar trebui să efectueze teste de securitate TIC. Pentru a evalua integritatea software-ului și pentru a se asigura că utilizarea software-ului respectiv nu prezintă riscuri de securitate TIC, entitățile financiare ar trebui, de asemenea, să revizuiască codurile sursă ale software-ului achiziționat, inclusiv, dacă este fezabil, ale software-ului brevetat furnizat de furnizorii terți de servicii TIC, utilizând metode de testare atât statice, cât și dinamice.

(17)

Modificările, indiferent de amploarea lor, prezintă riscuri inerente și pot genera riscuri semnificative de pierdere a confidențialității, a integrității și a disponibilității datelor, ceea ce ar putea duce la perturbări grave ale activității. Pentru a proteja entitățile financiare de potențialele vulnerabilități și deficiențe TIC care le-ar putea expune unor riscuri semnificative, este necesar un proces riguros de verificare prin care să se confirme că toate modificările îndeplinesc cerințele de securitate TIC necesare. Entitățile financiare menționate în titlul II din prezentul regulament ar trebui, prin urmare, să dispună, ca element esențial al politicilor și procedurilor lor de securitate TIC, de politici și proceduri solide de gestionare a modificărilor TIC. Pentru a menține obiectivitatea și eficacitatea procesului de gestionare a modificărilor TIC, a preveni conflictele de interese și a se asigura că modificările TIC sunt evaluate în mod obiectiv, este necesar să se separe funcțiile responsabile de aprobarea modificărilor de funcțiile care solicită și pun în aplicare modificările respective. Pentru a asigura tranziții eficace, punerea în aplicare controlată a modificărilor TIC și perturbări minime ale funcționării sistemelor TIC, entitățile financiare ar trebui să atribuie roluri și responsabilități clare care să asigure planificarea, testarea adecvată și calitatea modificărilor TIC. Pentru a se asigura că sistemele TIC continuă să funcționeze în mod eficace și pentru ca entitățile financiare să dispună de o plasă de siguranță, entitățile financiare ar trebui, de asemenea, să elaboreze și să pună în aplicare proceduri alternative. Entitățile financiare ar trebui să identifice în mod clar aceste proceduri alternative și să atribuie responsabilități în așa fel încât să se asigure un răspuns rapid și eficace în cazul unor modificări TIC nereușite.

(18)

Pentru a detecta, gestiona și raporta incidentele legate de TIC, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să instituie o politică privind incidentele legate de TIC care să cuprindă componentele unui proces de gestionare a incidentelor legate de TIC. În acest scop, entitățile financiare ar trebui să identifice toate contactele relevante din interiorul și din afara organizației care pot facilita coordonarea și punerea în aplicare corectă a diferitelor etape ale procesului respectiv. Pentru a optimiza detectarea incidentelor legate de TIC și răspunsul la acestea și pentru a identifica tendințele în ceea ce privește astfel de incidente, care reprezintă o sursă valoroasă de informații care le permite entităților financiare să identifice și să abordeze cauzele și problemele profunde într-un mod eficace, entitățile financiare ar trebui, în special, să analizeze în detaliu incidentele legate de TIC pe care le consideră a fi cele mai semnificative, printre altele din cauza reapariției lor periodice.

(19)

Pentru a garanta detectarea timpurie și eficace a activităților anormale, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să colecteze, să monitorizeze și să analizeze diferitele surse de informații și să aloce rolurile și responsabilitățile aferente. În ceea ce privește sursele interne de informații, jurnalele sunt o sursă extrem de relevantă, însă entitățile financiare nu ar trebui să se bazeze doar pe jurnale. În schimb, entitățile financiare ar trebui să ia în considerare informații mai ample pentru a include ceea ce este raportat de alte funcții interne, deoarece aceste funcții reprezintă adesea o sursă valoroasă de informații relevante. Din același motiv, entitățile financiare ar trebui să analizeze și să monitorizeze informațiile colectate din surse externe, inclusiv informațiile furnizate de furnizorii terți de servicii TIC cu privire la incidentele care le afectează sistemele și rețelele, precum și alte surse de informații pe care entitățile financiare le consideră relevante. În măsura în care aceste informații constituie date cu caracter personal, se aplică legislația Uniunii în materie de protecție a datelor. Datele cu caracter personal ar trebui să se limiteze la ceea ce este necesar pentru detectarea incidentului.

(20)

Pentru a facilita detectarea incidentelor legate de TIC, entitățile financiare ar trebui să păstreze dovezi ale incidentelor respective. Pentru a se asigura, pe de o parte, că astfel de dovezi sunt păstrate suficient de mult timp și, pe de altă parte, pentru a evita o sarcină de reglementare excesivă, entitățile financiare ar trebui să stabilească perioada de păstrare a datelor, ținând seama, printre altele, de caracterul critic al datelor și de cerințele de păstrare care decurg din dreptul Uniunii.

(21)

Pentru a se asigura că incidentele legate de TIC sunt detectate la timp, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să considere criteriile identificate pentru declanșarea detectării incidentelor legate de TIC și răspunsurile la acestea ca fiind neexhaustive. În plus, deși entitățile financiare ar trebui să ia în considerare fiecare dintre aceste criterii, circumstanțele descrise în criterii nu ar trebui să aibă loc simultan, iar importanța serviciilor TIC afectate ar trebui luată în considerare în mod corespunzător pentru a declanșa procese de detectare a incidentelor legate de TIC și de răspuns la acestea.

(22)

Atunci când elaborează o politică de continuitate a activității TIC, entitățile financiare menționate în titlul II din prezentul regulament ar trebui să țină seama de componentele esențiale ale gestionării riscurilor TIC, inclusiv de strategiile de gestionare și comunicare a incidentelor legate de TIC, de procesul de gestionare a modificărilor TIC și de riscurile asociate furnizorilor terți de servicii TIC.

(23)

Este necesar să se stabilească setul de scenarii pe care entitățile financiare menționate în titlul II din prezentul regulament ar trebui să le ia în considerare atât pentru punerea în aplicare a planurilor de răspuns și de recuperare în domeniul TIC, cât și pentru testarea planurilor de continuitate a activității TIC. Aceste scenarii ar trebui să servească drept punct de plecare pentru ca entitățile financiare să analizeze atât relevanța și plauzibilitatea fiecărui scenariu, cât și necesitatea de a elabora scenarii alternative. Entitățile financiare ar trebui să se concentreze asupra scenariilor în care investițiile în măsuri de reziliență ar putea fi mai eficiente și mai eficace. Prin testarea transferurilor de la infrastructura TIC primară la orice capacitate redundantă, copie de rezervă și instalație redundantă, instituțiile financiare ar trebui să evalueze dacă respectiva capacitate, respectiva copie de rezervă și respectivele instalații funcționează în mod eficace pentru o perioadă de timp suficientă și să se asigure că funcționarea normală a infrastructurii TIC primare este restabilită în conformitate cu obiectivele de recuperare.

(24)

Este necesar să se stabilească cerințe pentru riscul operațional, în special cerințe privind gestionarea proiectelor și a modificărilor TIC și gestionarea continuității activității TIC, pe baza celor care se aplică deja contrapărților centrale, depozitarilor centrali de titluri de valoare și locurilor de tranzacționare în temeiul Regulamentelor (UE) nr. 648/2012 (3), (UE) nr. 600/2014 (4) și, respectiv, (UE) nr. 909/2014 (5) ale Parlamentului European și ale Consiliului.

(25)

Articolul 6 alineatul (5) din Regulamentul (UE) 2022/2554 impune obligația entităților financiare de a-și revizui cadrul de gestionare a riscurilor TIC și de a furniza autorității lor competente un raport cu privire la această revizuire. Pentru a le permite autorităților competente să prelucreze cu ușurință informațiile din rapoartele respective și pentru a garanta o transmitere adecvată a acestor informații, entitățile financiare ar trebui să transmită rapoartele în cauză într-un format electronic cu funcție de căutare.

(26)

Cerințele pentru entitățile financiare care fac obiectul cadrului simplificat de gestionare a riscurilor TIC menționat la articolul 16 din Regulamentul (UE) 2022/2554 ar trebui să se concentreze asupra domeniilor și elementelor esențiale care, având în vedere amploarea, riscurile, dimensiunea și complexitatea entităților financiare respective, reprezintă minimul necesar pentru a asigura confidențialitatea, integritatea, disponibilitatea și autenticitatea datelor și serviciilor entităților financiare în cauză. În acest context, entitățile financiare respective ar trebui să dispună de un cadru intern de guvernanță și control cu responsabilități clare care să permită un cadru eficace și solid de gestionare a riscurilor. În plus, pentru a reduce sarcina administrativă și operațională, entitățile financiare respective ar trebui să elaboreze și să documenteze o singură politică, și anume o politică de securitate a informațiilor, care să specifice principiile și normele de nivel înalt necesare pentru a proteja confidențialitatea, integritatea, disponibilitatea și autenticitatea datelor și a serviciilor entităților financiare respective.

(27)

Dispozițiile prezentului regulament se referă la domeniul cadrului de gestionare a riscurilor TIC, prin detalierea elementelor specifice aplicabile entităților financiare în conformitate cu articolul 15 din Regulamentul (UE) 2022/2554 și prin elaborarea cadrului simplificat de gestionare a riscurilor TIC pentru entitățile financiare prevăzut la articolul 16 alineatul (1) din regulamentul respectiv. Pentru a asigura coerența dintre cadrul de gestionare a riscurilor TIC obișnuit și cel simplificat și având în vedere că dispozițiile respective ar trebui să devină aplicabile în același timp, este oportun ca dispozițiile respective să fie incluse într-un singur act legislativ.

(28)

Prezentul regulament are la bază proiectul de standarde tehnice de reglementare prezentat Comisiei de Autoritatea Bancară Europeană, Autoritatea Europeană de Asigurări și Pensii Ocupaționale și de Autoritatea Europeană pentru Valori Mobiliare și Piețe (autoritățile europene de supraveghere), în consultare cu Agenția Uniunii Europene pentru Securitate Cibernetică („ENISA”).

(29)

Comitetul comun al autorităților europene de supraveghere menționat la articolul 54 din Regulamentul (UE) nr. 1093/2010 al Parlamentului European și al Consiliului (6), la articolul 54 din Regulamentul (UE) nr. 1094/2010 al Parlamentului European și al Consiliului (7) și la articolul 54 din Regulamentul (UE) nr. 1095/2010 al Parlamentului European și al Consiliului (8) a efectuat consultări publice deschise cu privire la proiectul de standarde tehnice de reglementare pe care se bazează prezentul regulament, a analizat costurile și beneficiile potențiale ale standardelor propuse și a solicitat avizul Grupului părților interesate din domeniul bancar, instituit în conformitate cu articolul 37 din Regulamentul (UE) nr. 1093/2010, al Grupului părților interesate din domeniul asigurărilor și reasigurărilor și al Grupului părților interesate din domeniul pensiilor ocupaționale, instituite în conformitate cu articolul 37 din Regulamentul (UE) nr. 1094/2010, precum și al Grupului părților interesate din domeniul valorilor mobiliare și piețelor, instituit în conformitate cu articolul 37 din Regulamentul (UE) nr. 1095/2010.

(30)

În măsura în care prelucrarea datelor cu caracter personal este necesară pentru a respecta obligațiile prevăzute în prezentul act, ar trebui să se aplice pe deplin Regulamentele (UE) 2016/679 (9) și (UE) 2018/1725 (10) ale Parlamentului European și al Consiliului. De exemplu, principiul reducerii la minimum a datelor ar trebui respectat în cazul în care sunt colectate date cu caracter personal pentru a se asigura detectarea adecvată a incidentelor. Autoritatea Europeană pentru Protecția Datelor a fost, de asemenea, consultată cu privire la proiectul de text al prezentului act,