DELEGOVANÉ NARIADENIE KOMISIE (EÚ) 2025/301 z 23. októbra 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa stanovuje obsah a lehoty na počiatočné oznámenie, a priebežnú a záverečnú správu o závažných incidentoch súvisiacich s IKT a obsah dobrovoľného oznamovania v prípade významných kybernetických hrozieb (Text s významom pre EHP)

(1)

S cieľom zabezpečiť harmonizáciu a zjednodušenie požiadaviek na oznamovanie a nahlasovanie závažných incidentov súvisiacich s IKT uvedených v článku 19 ods. 4 nariadenia (EÚ) 2022/2554 by sa lehoty na nahlasovanie závažných incidentov súvisiacich s IKT mali riadiť jednotným prístupom pre všetky typy finančných subjektov. Z týchto dôvodov by sa aj lehoty mali v čo najväčšej možnej miere riadiť konzistentným prístupom k požiadavkám stanoveným v smernici Európskeho parlamentu a Rady (EÚ) 2022/2555 (2) a mali by im byť aspoň rovnocenné.

(2)

Aby sa predišlo neprimeranej nahlasovacej záťaži finančných subjektov v čase, keď riešia incident súvisiaci s IKT, obsah počiatočného oznámenia by sa mal obmedziť na najdôležitejšie informácie. Aby mohli príslušné orgány prijať náležité opatrenia dohľadu, musia dostať informácie o závažných incidentoch súvisiacich s IKT čo najskôr po tom, ako finančný subjekt klasifikoval incident súvisiaci s IKT ako závažný. V dôsledku toho by lehota na predloženie počiatočného oznámenia uvedená v článku 19 ods. 4 písm. a) nariadenia (EÚ) 2022/2554 mala byť čo najkratšia po tom, ako bol incident súvisiaci s IKT klasifikovaný ako závažný, a zároveň by mala umožňovať flexibilitu, najmä v prípade obchodných modelov služieb, ktoré nie sú mimoriadne časovo kritické, ak finančné subjekty potrebujú viac času na riešenie incidentu súvisiaceho s IKT po tom, ako sa o ňom dozvedeli.

(3)

Po prijatí počiatočného oznámenia by príslušné orgány mali dostať podrobnejšie informácie o incidente súvisiacom s IKT v priebežnej správe a všetky relevantné informácie v záverečnej správe. Informácie v týchto správach by mali príslušným orgánom umožniť ďalšie posúdenie incidentu súvisiaceho s IKT a vyhodnotenie opatrení dohľadu, ktoré by mohli chcieť prijať.

(4)

Lehoty na nahlasovanie uvedené v článku 20 ods. 1 písm. a) bode ii) nariadenia (EÚ) 2022/2554 by preto mali vyvážiť potrebu príslušných orgánov rýchlo získať informácie s potrebou poskytnúť finančným subjektom dostatok času na získanie úplných a presných informácií.

(5)

Vzhľadom na kritériá stanovené v článku 20 ods. 1 písm. a) nariadenia (EÚ) 2022/2554 by lehoty na nahlasovanie nemali predstavovať neprimeranú záťaž pre mikropodniky a iné finančné subjekty, ktoré nie sú významné. Okrem toho, aby sa predišlo neprimeranej záťaži finančných subjektov, lehoty na nahlasovanie by mali zohľadňovať víkendy a sviatky.

(6)

Keďže významné kybernetické hrozby sa majú oznamovať dobrovoľne, obsah takýchto oznámení by nemal predstavovať záťaž pre finančné subjekty a mal by byť obmedzenejší ako informácie požadované v prípade závažných incidentov súvisiacich s IKT.

(7)

Toto nariadenie vychádza z návrhu regulačných technických predpisov, ktorý Komisii predložili európske orgány dohľadu.

(8)

Európske orgány dohľadu uskutočnili otvorené verejné konzultácie k návrhu regulačných technických predpisov, z ktorého toto nariadenie vychádza, analyzovali možné súvisiace náklady a prínosy a požiadali o poradenstvo skupiny zainteresovaných strán zriadené v súlade s článkom 37 nariadení Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (3), (EÚ) č. 1094/2010 (4) a (EÚ) č. 1095/2010 (5).

(9)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (6) sa uskutočnili konzultácie s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal 22. júla 2024 kladné stanovisko. Akékoľvek spracúvanie osobných údajov v rozsahu pôsobnosti tohto nariadenia by sa malo vykonávať v súlade s platnými zásadami ochrany údajov a ustanoveniami z nariadenia (EÚ) 2018/1725,