(1)

Za zagotovitev harmonizacije in racionalizacije zahtev glede uradnega obveščanja in poročanja o večjih incidentih, povezanih z IKT, iz člena 19(4) Uredbe (EU) 2022/2554 bi moral biti pri rokih za poročanje o večjih incidentih, povezanih z IKT, za vse vrste finančnih subjektov uporabljen dosleden pristop. Zato bi moral biti pri rokih tudi v največji možni meri uporabljen pristop, skladen z zahtevami iz Direktive (EU) 2022/2555 Evropskega parlamenta in Sveta, in roki bi morali biti vsaj enakovredni tem zahtevam (2).

(2)

Da finančni subjekti v času, ko obravnavajo incident, povezan z IKT, zaradi poročanja ne bi bili nepotrebno obremenjeni, bi morala biti vsebina začetnega uradnega obvestila omejena na najpomembnejše informacije. Da bi pristojni organi lahko sprejeli ustrezne nadzorne ukrepe, morajo informacije o večjih incidentih, povezanih z IKT, prejeti čim prej po tem, ko je finančni subjekt incident, povezan z IKT, razvrstil kot večji incident. Zato bi moral biti rok za predložitev začetnega uradnega obvestila iz člena 19(4), točka (a), Uredbe (EU) 2022/2554 čim prej po razvrstitvi incidenta, povezanega z IKT, kot večjega, hkrati pa še vedno omogočati prožnost, zlasti za poslovne modele storitev, ki niso posebej časovno občutljivi, če finančni subjekti potrebujejo več časa za obravnavo incidenta, povezanega z IKT, po tem, ko zanj izvejo.

(3)

Po prejemu začetnega uradnega obvestila bi morali pristojni organi v vmesnem poročilu prejeti podrobnejše informacije o incidentu, povezanem z IKT, v končnem poročilu pa vse relevantne informacije. Informacije v teh poročilih bi morale pristojnim organom omogočiti, da nadalje ocenijo incidente, povezane z IKT, in ovrednotijo nadzorne ukrepe, ki bi jih morda želeli sprejeti.

(4)

Roki za poročanje iz člena 20, prvi odstavek, točka (a)(ii), Uredbe (EU) 2022/2554 bi morali zato zagotavljati ravnotežje med potrebo, da pristojni organi prejmejo informacije hitro, in potrebo, da se finančnim subjektom da na voljo dovolj časa za pridobitev popolnih in točnih informacij.

(5)

Ob upoštevanju meril iz člena 20, prvi odstavek, točka (a), Uredbe (EU) 2022/2554 roki za poročanja ne bi smeli nesorazmerno obremeniti mikropodjetij in drugih finančnih subjektov, ki niso pomembni finančni subjekti. Da bi se izognili nesorazmernemu bremenu za finančne subjekte, bi se morali pri rokih za poročanje upoštevati konci tedna in prazniki.

(6)

Ker se o pomembnih kibernetskih grožnjah obvešča prostovoljno, vsebina takih uradnih obvestil ne bi smela obremeniti finančnih subjektov in bi morala biti bolj omejena kot informacije, ki se zahtevajo za večje incidente, povezane z IKT.

(7)

Ta uredba temelji na osnutku regulativnih tehničnih standardov, ki so ga Komisiji predložili evropski nadzorni organi.

(8)

Evropski nadzorni organi so opravili odprta javna posvetovanja o osnutku regulativnih tehničnih standardov, na katerem temelji ta uredba, analizirali morebitne povezane stroške in koristi ter zaprosili za nasvet interesne skupine, ustanovljene v skladu s členom 37 uredb (EU) št. 1093/2010 (3), (EU) št. 1094/2010 (4) in (EU) št. 1095/2010 (5) Evropskega parlamenta in Sveta.

(9)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (6) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je pozitivno mnenje podal 22. julija 2024. Vsaka obdelava osebnih podatkov v okviru področja uporabe te uredbe bi morala potekati v skladu z veljavnimi načeli in določbami o varstvu podatkov iz Uredbe (EU) 2018/1725 –

(a)

vrsto predložitve (začetno uradno obvestilo, vmesno ali končno poročilo);

(b)

ime finančnega subjekta, njegovo kodo LEI in vrsto finančnega subjekta iz člena 2(1) Uredbe (EU) 2022/2554;

(c)

ime in identifikacijsko kodo subjekta, ki predloži začetno uradno obvestilo ali vmesno ali končno poročilo za finančni subjekt;

(d)

kjer je ustrezno, imena in kode LEI vseh finančnih subjektov, zajetih v zbirnem začetnem uradnem obvestilu ali vmesnem ali končnem poročilu;

(e)

kontaktne podatke oseb, odgovornih za komunikacijo s pristojnim organom o večjem incidentu, povezanem z IKT;

(f)

kjer je ustrezno, identifikacijo obvladujočega podjetja skupine, katere del je finančni subjekt;

(g)

v primeru monetarnega učinka, valuto, na kateri temeljijo zneski.

(a)

referenčno kodo incidenta, ki jo dodeli finančni subjekt;

(b)

datum odkritja, čas odkritja in razvrstitev incidenta v skladu s členom 8 Delegirane uredbe Komisije (EU) 2024/1772 (7);

(c)

opis incidenta, povezanega z IKT;

(d)

merila iz členov 1 do 8 Delegirane uredbe (EU) 2024/1772, na podlagi katerih je finančni subjekt incident, povezan z IKT, razvrstil kot večji incident;

(e)

države članice, na katere vpliva incident, povezan z IKT;

(f)

informacije o tem, kako je bil odkrit incident, povezan z IKT;

(g)

informacije o izvoru incidenta, povezanega z IKT, če so na voljo;

(h)

informacije o tem, ali je finančni subjekt aktiviral načrt neprekinjenega poslovanja;

(i)

kjer je ustrezno, informacije o prerazvrstitvi incidenta, povezanega z IKT, iz večjega v manjšega;

(j)

vse druge relevantne informacije, če so na voljo.

(a)

kjer je ustrezno, referenčno kodo incidenta, ki jo zagotovi pristojni organ;

(b)

datum in čas nastanka incidenta, povezanega z IKT;

(c)

kjer je ustrezno, datum in čas, ko je finančni subjekt obnovil svoje redne dejavnosti;

(d)

informacije o tem, kako so izpolnjena merila iz členov 1 do 8 Delegirane uredbe (EU) 2024/1772, na podlagi katerih je finančni subjekt incident, povezan z IKT, razvrstil kot večji;

(e)

vrsto incidenta, povezanega z IKT;

(f)

kjer je ustrezno, grožnje in tehnike, ki jih uporablja akter grožnje;

(g)

prizadeta funkcionalna področja in poslovni procesi;

(h)

prizadete infrastrukturne komponente, ki podpirajo poslovne procese;

(i)

vpliv na finančne interese strank;

(j)

informacije o poročanju o incidentu, povezanem z IKT, drugim organom;

(k)

začasne ukrepe ali ukrepe, ki jih je finančni subjekt sprejel ali jih namerava sprejeti za okrevanje po incidentu, povezanem z IKT;

(l)

kjer je ustrezno, informacije o kazalnikih ogroženosti.

(a)

informacije o temeljnih vzrokih incidenta, povezanega z IKT;

(b)

datume in čas, ko je bil incident, povezan z IKT, rešen in so bili obravnavani temeljni vzroki;

(c)

informacije o reševanju incidenta, povezanega z IKT;

(d)

kjer je ustrezno, informacije, ki so relevantne za organe za reševanje;

(e)

informacije o neposrednih in posrednih stroških in izgubah zaradi incidenta, povezanega z IKT, ter informacije o finančnih izterjavah;

(f)

kjer je ustrezno, informacije o ponavljajočih se incidentih, povezanih z IKT.

(a)

splošne informacije o finančnem subjektu predložitelju, kot je določeno v členu 1;

(b)

datum in čas odkritja pomembne kibernetske grožnje in vse druge relevantne časovne žige, povezane s pomembno kibernetsko grožnjo;

(c)

opis pomembne kibernetske grožnje;

(d)

informacije o morebitnem vplivu pomembne kibernetske grožnje na finančni subjekt, njegove stranke ali finančne partnerje;

(e)

merila za razvrstitev, ki bi sprožila poročilo o večjem incidentu iz členov 1 do 8 Delegirane uredbe (EU) 2024/1772, če bi se kibernetska grožnja uresničila;

(f)

informacije o statusu pomembne kibernetske grožnje in vseh spremembah grožnje;

(g)

kjer je ustrezno, opis ukrepov, ki jih je finančni subjekt sprejel za preprečitev uresničitve pomembnih kibernetskih groženj;

(h)

informacije o vsakem uradnem obvestilu o pomembni kibernetski grožnji drugim finančnim subjektom ali organom;

(i)

kjer je ustrezno, informacije o kazalnikih ogroženosti;

(j)

vse druge relevantne informacije, če so na voljo.