CELEX:32025R0301: Regulamentul delegat (UE) 2025/301 al Comisiei din 23 octombrie 2024 de completare a Regulamentului (UE) 2022/2554 al Parlamentului European și al Consiliului în ceea ce privește standardele tehnice de reglementare care precizează conținutul și termenele pentru notificarea inițială privind incidentele majore legate de TIC și pentru raportul intermediar și raportul final aferente, precum și conținutul notificării voluntare privind amenințările cibernetice semnificative

(1)

Pentru a asigura armonizarea și simplificarea cerințelor de notificare și raportare pentru incidentele majore legate de TIC menționate la articolul 19 alineatul (4) din Regulamentul (UE) 2022/2554, termenele pentru raportarea incidentelor majore legate de TIC ar trebui să urmeze o abordare coerentă pentru toate tipurile de entități financiare. Din aceste motive, termenele ar trebui, de asemenea, în cea mai mare măsură posibilă, să urmeze o abordare coerentă cu cerințele prevăzute în Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului (2) și să aibă un efect cel puțin echivalent cu acestea.

(2)

Pentru a se evita impunerea unei sarcini de raportare nejustificate asupra entităților financiare într-un moment în care acestea gestionează incidentul legat de TIC, conținutul notificării inițiale ar trebui să se limiteze la cele mai importante informații. Pentru a putea lua măsuri de supraveghere adecvate, autoritățile competente trebuie să primească informații cu privire la incidentele majore legate de TIC cât mai curând posibil după ce entitatea financiară a clasificat un incident legat de TIC ca fiind major. În consecință, termenul pentru depunerea unei notificări inițiale, astfel cum se menționează la articolul 19 alineatul (4) litera (a) din Regulamentul (UE) 2022/2554, ar trebui să fie cât mai scurt posibil după ce un incident legat de TIC a fost clasificat ca fiind major, permițând în același timp un anumit grad de flexibilitate, în special pentru modelele de afaceri din sectorul serviciilor care nu sunt deosebit de urgente, în cazul în care entitățile financiare au nevoie de mai mult timp pentru a trata incidentul legat de TIC după ce au aflat de acesta.

(3)

După ce primesc notificarea inițială, autoritățile competente ar trebui să primească informații mai detaliate cu privire la incidentul legat de TIC în raportul intermediar și toate informațiile relevante din raportul final. Informațiile din rapoartele respective ar trebui să permită autorităților competente să analizeze mai detaliat incidentul legat de TIC și să evalueze măsurile de supraveghere pe care ar intenționa să le întreprindă.

(4)

Prin urmare, termenele de raportare menționate la articolul 20 primul paragraf litera (a) punctul (ii) din Regulamentul (UE) 2022/2554 ar trebui să stabilească un echilibru între necesitatea ca autoritățile competente să primească rapid informațiile și necesitatea de a oferi entităților financiare suficient timp pentru a obține informații complete și exacte.

(5)

Ținând seama de criteriile prevăzute la articolul 20 primul paragraf litera (a) din Regulamentul (UE) 2022/2554, termenele de raportare nu ar trebui să reprezinte o sarcină disproporționată pentru microîntreprinderi și pentru alte entități financiare care nu sunt semnificative. În plus, pentru a se evita o sarcină disproporționată asupra entităților financiare, termenele de raportare ar trebui să țină seama de weekenduri și de zilele nelucrătoare.

(6)

Întrucât amenințările cibernetice semnificative urmează să fie notificate în mod voluntar, conținutul acestor notificări nu ar trebui să impună nicio sarcină asupra entităților financiare și ar trebui să fie mai limitat decât informațiile solicitate în cazul incidentelor majore legate de TIC.

(7)

Prezentul regulament se bazează pe proiectul de standarde tehnice de reglementare pe care autoritățile europene de supraveghere l-au transmis Comisiei.

(8)

Autoritățile europene de supraveghere au efectuat consultări publice deschise cu privire la proiectul de standarde tehnice de reglementare pe care se bazează prezentul regulament, a analizat costurile și beneficiile potențiale aferente și a solicitat avizul Grupului părților interesate din domeniul bancar, instituit în conformitate cu articolul 37 din Regulamentele (UE) nr. 1093/2010 (3), (UE) nr. 1094/2010 (4) și (UE) nr. 1095/2010 (5) ale Parlamentului European și ale Consiliului.

(9)

Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (6) și a emis un aviz pozitiv la 22 iulie 2024. Orice prelucrare a datelor cu caracter personal care intră în domeniul de aplicare al prezentului regulament ar trebui efectuată în conformitate cu principiile și dispozițiile aplicabile în materie de protecție a datelor din Regulamentul (UE) 2018/1725,

(a)

tipul de transmitere (notificare inițială, raport intermediar sau raport final);

(b)

denumirea entității financiare, codul LEI al acesteia și tipul de entitate financiară, astfel cum se menționează la articolul 2 alineatul (1) din Regulamentul (UE) 2022/2554;

(c)

denumirea și codul de identificare al entității care transmite notificarea inițială sau raportul intermediar ori final pentru entitatea financiară;

(d)

după caz, denumirile și codurile LEI ale tuturor entităților financiare care fac obiectul notificării inițiale agregate sau al raportului intermediar ori final;

(e)

datele de contact ale persoanelor care au responsabilitatea de a comunica autorității competente incidentul major legat de TIC;

(f)

dacă este cazul, identificarea întreprinderii-mamă a grupului din care face parte entitatea financiară;

(g)

în cazul în care există un impact monetar, moneda în care se calculează sumele.

(a)

codul de referință al incidentului atribuit de entitatea financiară;

(b)

data detectării, ora detectării și clasificarea incidentului în temeiul articolului 8 din Regulamentul delegat (UE) 2024/1772 al Comisiei (7);

(c)

o descriere a incidentului legat de TIC;

(d)

criteriile prevăzute la articolele 1-8 din Regulamentul delegat (UE) 2024/1772, pe baza cărora entitatea financiară a clasificat incidentul legat de TIC ca fiind major;

(e)

statele membre afectate de incidentul legat de TIC;

(f)

informații privind modul în care a fost descoperit incidentul legat de TIC;

(g)

dacă sunt disponibile, informații cu privire la originea incidentului legat de TIC;

(h)

informații din care să reiasă dacă entitatea financiară a activat un plan de asigurare a continuității activității;

(i)

dacă este cazul, informații cu privire la reclasificarea incidentului legat de TIC considerat major ca nefiind major;

(j)

dacă sunt disponibile, orice alte informații relevante.

(a)

dacă este cazul, codul de referință al incidentului furnizat de autoritatea competentă;

(b)

data și ora producerii incidentului legat de TIC;

(c)

după caz, data și ora la care entitatea financiară și-a reluat activitățile obișnuite;

(d)

informații privind în care au fost respectate criteriile prevăzute la articolele 1-8 din Regulamentul delegat (UE) 2024/1772, pe baza cărora entitatea financiară a clasificat incidentul legat de TIC ca fiind major;

(e)

tipul de incident legat de TIC;

(f)

după caz, amenințări și tehnici utilizate de actorul amenințării;

(g)

domeniile funcționale și procesele operaționale afectate;

(h)

componentele de infrastructură afectate care sprijină procesele operaționale;

(i)

impactul asupra intereselor financiare ale clienților;

(j)

informații privind raportarea incidentului legat de TIC altor autorități;

(k)

acțiuni sau măsuri temporare luate sau planificate de entitatea financiară pentru a se redresa după incidentul legat de TIC;

(l)

dacă este cazul, informații privind indicatorii de compromitere.

(a)

informații privind cauzele principale ale incidentului legat de TIC;

(b)

datele și orele în care a fost soluționat incidentul legat de TIC și cauza principală abordată (cauzele principale abordate);

(c)

informații privind soluționarea incidentului legat de TIC;

(d)

dacă este cazul, informații relevante pentru autoritățile de rezoluție;

(e)

informații privind costurile și pierderile directe și indirecte care decurg din incidentul legat de TIC și informații privind recuperările financiare;

(f)

dacă este cazul, informații privind incidentele recurente legate de TIC.

(a)

informații generale privind entitatea financiară notificatoare, astfel cum se prevede la articolul 1;

(b)

data și ora la care a fost detectată amenințarea cibernetică semnificativă și orice alte mărci temporale relevante legate de amenințarea cibernetică semnificativă;

(c)

o descriere a amenințării cibernetice semnificative;

(d)

informații privind impactul potențial al amenințării cibernetice semnificative asupra entității financiare, a clienților săi sau a contrapărților financiare;

(e)

criteriile de clasificare care ar fi declanșat un raport privind un incident major prevăzut la articolele 1-8 din regulamentul delegat (UE) 2024/1772 dacă amenințarea cibernetică s-ar fi materializat;

(f)

informații referitoare la situația amenințării cibernetice semnificative și la orice modificare a activității de amenințare;

(g)

dacă este cazul, o descriere a acțiunilor întreprinse de entitatea financiară pentru a preveni materializarea amenințărilor cibernetice semnificative;

(h)

informații privind orice notificare a amenințării cibernetice semnificative către alte entități financiare sau autorități;

(i)

dacă este cazul, informații privind indicatorii de compromitere;

(j)

dacă sunt disponibile, orice alte informații relevante.