(1)

Cieľom nariadenia (EÚ) 2022/2554 je harmonizovať a zefektívniť požiadavky na nahlasovanie incidentov súvisiacich s IKT a prevádzkových alebo bezpečnostných incidentov súvisiacich s platbami, ktoré sa týkajú úverových inštitúcií, platobných inštitúcií, poskytovateľov služieb informovania o účte a inštitúcií elektronického peňažníctva (ďalej len „incidenty“). Keďže požiadavky na nahlasovanie sa vzťahujú na 20 rôznych typov finančných subjektov, klasifikačné kritériá a prahové hodnoty významnosti na určenie závažných incidentov a významných kybernetických hrozieb by sa mali stanoviť jednoduchým, harmonizovaným a konzistentným spôsobom, v ktorom sa zohľadňujú osobitosti služieb a činností všetkých príslušných finančných subjektov.

(2)

S cieľom zabezpečiť proporcionalitu by klasifikačné kritériá a prahové hodnoty významnosti mali odrážať veľkosť a celkový rizikový profil, ako aj povahu, rozsah a zložitosť služieb všetkých finančných subjektov. Kritériá a prahové hodnoty významnosti by okrem toho mali byť navrhnuté tak, aby sa uplatňovali konzistentne na všetky finančné subjekty bez ohľadu na ich veľkosť a rizikový profil a aby v súvislosti s nahlasovaním nepredstavovali pre menšie finančné subjekty neprimeranú záťaž. S cieľom riešiť situácie, keď je určitým incidentom, ktorý sám osebe nepresahuje uplatniteľnú prahovú hodnotu, ovplyvnený významný počet klientov, by sa však mala stanoviť absolútna prahová hodnota zameraná najmä na väčšie finančné subjekty.

(3)

V súvislosti s rámcami nahlasovania incidentov, ktoré existovali pred nadobudnutím účinnosti nariadenia (EÚ) 2022/2554, by sa mala zabezpečiť kontinuita pre finančné subjekty. Klasifikačné kritériá a prahové hodnoty významnosti by sa preto mali zosúladiť a inšpirovať usmerneniami orgánu EBA o nahlasovaní závažných incidentov podľa smernice Európskeho parlamentu a Rady (EÚ) 2015/2366 (2), usmerneniami o pravidelnom informovaní a oznamovaní závažných zmien, ktoré majú orgánu ESMA predkladať archívy obchodných údajov, rámcom ECB/SSM pre nahlasovanie kybernetických incidentov a inými príslušnými usmerneniami. Klasifikačné kritériá a prahové hodnoty by mali byť vhodné aj pre finančné subjekty, na ktoré sa pred nariadením (EÚ) 2022/2554 nevzťahovali požiadavky na nahlasovanie incidentov.

(4)

Pokiaľ ide o klasifikačné kritérium „výška a počet transakcií, ktoré sú ovplyvnené incidentom“, pojem transakcie je široký a zahŕňa rôzne činnosti a služby v rámci odvetvových aktov uplatniteľných na finančné subjekty. Na účely uvedeného klasifikačného kritéria by mali byť doň zahrnuté platobné transakcie a všetky formy výmeny finančných nástrojov, kryptoaktív, komodít alebo akýchkoľvek iných aktív, a to aj vo forme marže, kolaterálu alebo záväzku, a to tak za hotovosť, ako aj za akékoľvek iné aktívum. Na účely klasifikácie by sa mali brať do úvahy všetky transakcie, ktoré zahŕňajú aktíva, ktorých hodnota môže byť vyjadrená v peňažnej sume.

(5)

Klasifikačné kritériá by mali zabezpečiť, aby boli zachytené všetky relevantné druhy závažných incidentov. Kybernetické útoky súvisiace s vniknutím do siete alebo informačných systémov nemusia byť nevyhnutne zachytené mnohými klasifikačnými kritériami. Tieto sú však dôležité, pretože každé vniknutie do siete a informačných systémov môže poškodiť finančný subjekt. Klasifikačné kritériá „kritickosť zasiahnutých služieb“ a „straty údajov“ by sa preto mali špecifikovať tak, aby zachytávali tieto druhy závažných incidentov, najmä neoprávnené vniknutia, ktoré – hoci ich vplyvy nie sú okamžite známe – môžu mať závažné dôsledky, najmä pokiaľ ide o porušenie ochrany údajov a úniky údajov.

(6)

Keďže úverové inštitúcie podliehajú rámcu klasifikácie incidentov podľa článku 18 nariadenia (EÚ) 2022/2554, ako aj rámcu operačného rizika podľa delegovaného nariadenia Komisie (EÚ) 2018/959 (3), prístup k posudzovaniu hospodárskeho vplyvu incidentu založený na výpočte nákladov a strát by mal byť v čo najväčšej možnej miere konzistentný podľa oboch rámcov, aby sa zabránilo zavádzaniu nezlučiteľných alebo konfliktných požiadaviek.

(7)

Kritérium týkajúce sa geografického rozloženia incidentu stanovené v článku 18 ods. 1 písm. c) nariadenia (EÚ) 2022/2554 by sa malo zameriavať na cezhraničný vplyv incidentu, keďže vplyv incidentu na činnosti finančného subjektu v rámci jednej jurisdikcie bude zachytený inými kritériami stanovenými v uvedenom článku.

(8)

Keďže klasifikačné kritériá sú navzájom závislé a prepojené, prístup k identifikácii závažných incidentov, ktoré sa majú oznamovať v súlade s článkom 19 ods. 1 nariadenia (EÚ) 2022/2554, by mal byť založený na kombinácii kritérií, pričom niektoré kritériá, ktoré úzko súvisia s vymedzením pojmov „incident súvisiaci s IKT“ a „závažný incident súvisiaci s IKT“, ako sa stanovuje v článku 3 bodoch 8 a 10 nariadenia (EÚ) 2022/2554, by mali mať pri klasifikácii závažných incidentov väčšiu váhu ako iné kritériá.

(9)

S cieľom zabezpečiť, aby správy o závažných incidentoch a oznámenia o závažných incidentoch prijaté príslušnými orgánmi podľa článku 19 ods. 1 nariadenia (EÚ) 2022/2554 slúžili na účely dohľadu aj na predchádzanie nákazlivému účinku v celom finančnom sektore, by prahové hodnoty významnosti mali umožňovať zachytenie závažných incidentov, a to okrem iného zameraním sa na vplyv na kritické služby špecifické pre daný finančný subjekt, konkrétne absolútne a relatívne prahové hodnoty klientov alebo finančných protistrán, na transakcie, ktoré naznačujú významný vplyv na finančný subjekt, ako aj na význam vplyvu v iných členských štátoch.

(10)

Za incidenty ovplyvňujúce kritické služby finančných subjektov by sa mali považovať incidenty, ktoré ovplyvňujú IKT služby alebo sieť a informačné systémy, ktoré podporujú kritické alebo dôležité funkcie, alebo finančné služby, ktoré si vyžadujú povolenie, alebo škodlivý neoprávnený prístup do sietí a informačných systémov, ktoré podporujú kritické alebo dôležité funkcie. Za závažný incident, ktorý sa má vždy oznamovať, by sa mal považovať škodlivý neoprávnený prístup do siete a informačných systémov, ktoré podporujú kritické alebo dôležité funkcie finančných subjektov, pretože takýto prístup predstavuje závažné riziko pre daný finančný subjekt, keďže môže ovplyvniť iné finančné subjekty.

(11)

Opakujúce sa incidenty, ktoré sú prepojené podobnou zjavnou hlavnou príčinou a ktoré jednotlivo nie sú závažnými incidentmi, môžu poukazovať na závažné nedostatky a slabé miesta v postupoch finančného subjektu v oblasti riadenia incidentov a rizík. Opakujúce sa incidenty by sa preto mali považovať za kolektívne závažné, ak k nich dochádza opakovane počas určitého obdobia.

(12)

Keďže kybernetické hrozby môžu mať negatívny vplyv na finančný subjekt a sektor, významné kybernetické hrozby, ktorým môžu byť finančné subjekty vystavené, by mali poukazovať na pravdepodobnosť významnosti a kritickosť potenciálneho vplyvu. S cieľom zabezpečiť jasné a konzistentné posudzovanie významnosti kybernetických hrozieb by preto klasifikácia kybernetickej hrozby ako významnej mala závisieť od pravdepodobnosti, že klasifikačné kritériá závažných incidentov a ich prahová hodnota by boli splnené pri naplnení hrozby, od druhu kybernetickej hrozby a od informácií, ktoré má finančný subjekt k dispozícii.

(13)

Keďže príslušným orgánom v iných členských štátoch sa majú oznamovať incidenty, ktoré majú vplyv na finančné subjekty a zákazníkov v ich jurisdikcii, posudzovanie vplyvu v inej jurisdikcii v súlade s článkom 19 ods. 7 nariadenia (EÚ) 2022/2554 by malo vychádzať z hlavnej príčiny incidentu, potenciálneho nákazlivého účinku na externých poskytovateľov a z infraštruktúr finančného trhu, ako aj z vplyvu incidentu na významné skupiny klientov alebo finančných protistrán.

(14)

Postupy nahlasovania a oznamovania uvedené v článku 19 ods. 6 a 7 nariadenia (EÚ) 2022/2554 by mali príslušným príjemcom umožniť posúdiť vplyv incidentov. Zasielané informácie by preto mali zahŕňať všetky podrobnosti uvedené v správach o incidentoch, ktoré finančný subjekt predložil príslušnému orgánu.

(15)

Ak incident predstavuje porušenie ochrany osobných údajov podľa nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (4) a smernice Európskeho parlamentu a Rady 2002/58/ES (5), toto nariadenie by nemalo mať vplyv na povinnosti týkajúce sa zaznamenávania a oznamovania v prípade porušenia ochrany osobných údajov, ako sa stanovuje v uvedených právnych predpisoch Únie. Príslušné orgány by mali spolupracovať a vymieňať si informácie o všetkých relevantných záležitostiach s orgánmi uvedenými v nariadení (EÚ) 2016/679 a smernici 2002/58/ES.

(16)

Toto nariadenie vychádza z návrhu regulačných technických predpisov, ktorý Komisii predložili európske orgány dohľadu po konzultácii s Agentúrou Európskej únie pre kybernetickú bezpečnosť (ENISA) a Európskou centrálnou bankou (ECB).

(17)

Spoločný výbor európskych orgánov uvedený v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (6), v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (7) a v článku 54 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (8) uskutočnil otvorené verejné konzultácie k návrhu regulačných technických predpisov, z ktorých toto nariadenie vychádza, analyzoval potenciálne náklady a prínosy navrhovaných predpisov a požiadal o poradenstvo Skupinu zainteresovaných strán v bankovníctve zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010, Skupinu zainteresovaných strán v poisťovníctve a zaisťovníctve a skupinu zainteresovaných strán v dôchodkovom poistení zamestnancov zriadené v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1094/2010 a Skupinu zainteresovaných strán v oblasti cenných papierov a trhov zriadenú v súlade s článkom 37 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1095/2010.

(18)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (9) prebehli konzultácie s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 24. januára 2024,