(1)

S cieľom zabezpečiť harmonizáciu a zjednodušenie požiadaviek na oznamovanie a nahlasovanie závažných incidentov súvisiacich s IKT uvedených v článku 19 ods. 4 nariadenia (EÚ) 2022/2554 by sa lehoty na nahlasovanie závažných incidentov súvisiacich s IKT mali riadiť jednotným prístupom pre všetky typy finančných subjektov. Z týchto dôvodov by sa aj lehoty mali v čo najväčšej možnej miere riadiť konzistentným prístupom k požiadavkám stanoveným v smernici Európskeho parlamentu a Rady (EÚ) 2022/2555 (2) a mali by im byť aspoň rovnocenné.

(2)

Aby sa predišlo neprimeranej nahlasovacej záťaži finančných subjektov v čase, keď riešia incident súvisiaci s IKT, obsah počiatočného oznámenia by sa mal obmedziť na najdôležitejšie informácie. Aby mohli príslušné orgány prijať náležité opatrenia dohľadu, musia dostať informácie o závažných incidentoch súvisiacich s IKT čo najskôr po tom, ako finančný subjekt klasifikoval incident súvisiaci s IKT ako závažný. V dôsledku toho by lehota na predloženie počiatočného oznámenia uvedená v článku 19 ods. 4 písm. a) nariadenia (EÚ) 2022/2554 mala byť čo najkratšia po tom, ako bol incident súvisiaci s IKT klasifikovaný ako závažný, a zároveň by mala umožňovať flexibilitu, najmä v prípade obchodných modelov služieb, ktoré nie sú mimoriadne časovo kritické, ak finančné subjekty potrebujú viac času na riešenie incidentu súvisiaceho s IKT po tom, ako sa o ňom dozvedeli.

(3)

Po prijatí počiatočného oznámenia by príslušné orgány mali dostať podrobnejšie informácie o incidente súvisiacom s IKT v priebežnej správe a všetky relevantné informácie v záverečnej správe. Informácie v týchto správach by mali príslušným orgánom umožniť ďalšie posúdenie incidentu súvisiaceho s IKT a vyhodnotenie opatrení dohľadu, ktoré by mohli chcieť prijať.

(4)

Lehoty na nahlasovanie uvedené v článku 20 ods. 1 písm. a) bode ii) nariadenia (EÚ) 2022/2554 by preto mali vyvážiť potrebu príslušných orgánov rýchlo získať informácie s potrebou poskytnúť finančným subjektom dostatok času na získanie úplných a presných informácií.

(5)

Vzhľadom na kritériá stanovené v článku 20 ods. 1 písm. a) nariadenia (EÚ) 2022/2554 by lehoty na nahlasovanie nemali predstavovať neprimeranú záťaž pre mikropodniky a iné finančné subjekty, ktoré nie sú významné. Okrem toho, aby sa predišlo neprimeranej záťaži finančných subjektov, lehoty na nahlasovanie by mali zohľadňovať víkendy a sviatky.

(6)

Keďže významné kybernetické hrozby sa majú oznamovať dobrovoľne, obsah takýchto oznámení by nemal predstavovať záťaž pre finančné subjekty a mal by byť obmedzenejší ako informácie požadované v prípade závažných incidentov súvisiacich s IKT.

(7)

Toto nariadenie vychádza z návrhu regulačných technických predpisov, ktorý Komisii predložili európske orgány dohľadu.

(8)

Európske orgány dohľadu uskutočnili otvorené verejné konzultácie k návrhu regulačných technických predpisov, z ktorého toto nariadenie vychádza, analyzovali možné súvisiace náklady a prínosy a požiadali o poradenstvo skupiny zainteresovaných strán zriadené v súlade s článkom 37 nariadení Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (3), (EÚ) č. 1094/2010 (4) a (EÚ) č. 1095/2010 (5).

(9)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (6) sa uskutočnili konzultácie s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal 22. júla 2024 kladné stanovisko. Akékoľvek spracúvanie osobných údajov v rozsahu pôsobnosti tohto nariadenia by sa malo vykonávať v súlade s platnými zásadami ochrany údajov a ustanoveniami z nariadenia (EÚ) 2018/1725,

a)

typ predloženia (počiatočné oznámenie, priebežná správa alebo záverečná správa);

b)

názov finančného subjektu, jeho identifikátor právneho subjektu a typ finančného subjektu, ako sa uvádza v článku 2 ods. 1 nariadenia (EÚ) 2022/2554;

c)

názov a identifikačný kód subjektu, ktorý predkladá počiatočné oznámenie alebo priebežnú či záverečnú správu za finančný subjekt;

d)

v náležitých prípadoch názvy a identifikátory právneho subjektu všetkých finančných subjektov, na ktoré sa vzťahuje súhrnné počiatočné oznámenie alebo priebežná či záverečná správa;

e)

kontaktné údaje osôb zodpovedných za komunikáciu s príslušným orgánom o závažnom incidente súvisiacom s IKT;

f)

v náležitých prípadoch identifikáciu materského podniku skupiny, do ktorej finančný subjekt patrí;

g)

v prípade peňažného vplyvu menu, v ktorej sú sumy vyčíslené.

a)

referenčný kód incidentu pridelený finančným subjektom;

b)

dátum zistenia, čas zistenia a klasifikáciu incidentu podľa článku 8 delegovaného nariadenia Komisie (EÚ) 2024/1772 (7);

c)

opis incidentu súvisiaceho s IKT;

d)

kritériá stanovené v článkoch 1 až 8 delegovaného nariadenia (EÚ) 2024/1772, na základe ktorých finančný subjekt klasifikoval incident súvisiaci s IKT ako závažný;

e)

členské štáty, ktoré sú ovplyvnené incidentom súvisiacim s IKT;

f)

informácie o tom, ako bol incident súvisiaci s IKT zistený;

g)

ak sú k dispozícii, informácie o pôvode incidentu súvisiaceho s IKT;

h)

informácie o tom, či finančný subjekt aktivoval plán kontinuity činností;

i)

v náležitých prípadoch informácie o preklasifikovaní incidentu súvisiaceho s IKT zo závažného na menej závažný;

j)

ak sú k dispozícii, akékoľvek ďalšie relevantné informácie.

a)

v náležitých prípadoch referenčný kód incidentu poskytnutý príslušným orgánom;

b)

dátum a čas výskytu incidentu súvisiaceho s IKT;

c)

v náležitých prípadoch dátum a čas, kedy finančný subjekt obnovil svoje pravidelné činnosti;

d)

informácie o tom, ako boli splnené kritériá stanovené v článkoch 1 až 8 delegovaného nariadenia (EÚ) 2024/1772, na základe ktorých finančný subjekt klasifikoval incident súvisiaci s IKT ako závažný;

e)

typ incidentu súvisiaceho s IKT;

f)

v náležitých prípadoch hrozby a techniky používané aktérom hrozby;

g)

dotknuté funkčné oblasti a obchodné procesy;

h)

dotknuté komponenty infraštruktúry podporujúce obchodné procesy;

i)

vplyv na finančné záujmy klientov;

j)

informácie o nahlasovaní incidentov súvisiacich s IKT iným orgánom;

k)

dočasné kroky alebo opatrenia, ktoré finančný subjekt prijal alebo plánuje prijať na obnovu po incidente súvisiacom s IKT;

l)

v náležitých prípadoch informácie o ukazovateľoch ohrozenia.

a)

informácie o hlavných príčinách incidentu súvisiaceho s IKT;

b)

dátumy a časy, kedy bol incident súvisiaci s IKT vyriešený a kedy bola odstránená jeho hlavná príčina (príčiny);

c)

informácie o riešení incidentu súvisiaceho s IKT;

d)

v náležitých prípadoch informácie relevantné pre orgány na riešenie krízových situácií;

e)

informácie o priamych a nepriamych nákladoch a stratách vyplývajúcich z incidentu súvisiaceho s IKT a informácie o finančných náhradách;

f)

v náležitých prípadoch informácie o opakujúcich sa incidentoch súvisiacich s IKT.

a)

všeobecné informácie o oznamujúcom finančnom subjekte, ako sa uvádza v článku 1;

b)

dátum a čas zistenia významnej kybernetickej hrozby a akékoľvek iné relevantné časové pečiatky súvisiace s významnou kybernetickou hrozbou;

c)

opis významnej kybernetickej hrozby;

d)

informácie o potenciálnom vplyve významnej kybernetickej hrozby na finančný subjekt, jeho klientov alebo finančné protistrany;

e)

klasifikačné kritériá, na základe ktorých by bolo možné podať správu o závažnom incidente stanovené v článkoch 1 až 8 delegovaného nariadenia (EÚ) 2024/1772, ak by sa kybernetická hrozba naplnila;

f)

informácie o stave významnej kybernetickej hrozby a o akýchkoľvek zmenách v aktivite hrozby;

g)

v náležitých prípadoch opis opatrení, ktoré finančný subjekt prijal s cieľom zabrániť naplneniu významných kybernetických hrozieb;

h)

informácie o akomkoľvek oznámení významnej kybernetickej hrozby iným finančným subjektom alebo orgánom;

i)

v náležitých prípadoch informácie o ukazovateľoch ohrozenia;

j)

ak sú k dispozícii, akékoľvek ďalšie relevantné informácie.