ДЕЛЕГИРАН РЕГЛАМЕНТ (ЕС) 2024/1772 НА КОМИСИЯТА от 13 март 2024 година за допълнение на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета по отношение на регулаторните технически стандарти, с които се определят подробно критериите за класифициране на инциденти с ИКТ и киберзаплахи, праговете на същественост и информацията в докладите за съществени инциденти (текст от значение за ЕИП)

(1)

Регламент (ЕС) 2022/2554 има за цел да се хармонизират и рационализират изискванията за докладване на инциденти с ИКТ и на съществени операционни или свързани със сигурността инциденти, свързани с плащания, засягащи кредитни институции, платежни институции, доставчици на услуги по предоставяне на информация за сметки и институции за електронни пари („инциденти“). Като се има предвид, че изискванията за докладване обхващат 20 различни вида финансови субекти, критериите за класифициране и праговете на същественост за определяне на съществени инциденти и значителни киберзаплахи следва да бъдат определени по прост, хармонизиран и последователен начин, който отчита спецификите на услугите и дейностите на всички съответни финансови субекти.

(2)

За да се гарантира пропорционалност, критериите за класифициране и праговете на същественост следва да отразяват размера и цялостния рисков профил, както и естеството, мащаба и сложността на услугите на всички финансови субекти. Освен това критериите и праговете на същественост следва да бъдат разработени по такъв начин, че да се прилагат последователно за всички финансови субекти, независимо от техния размер и рисков профил, и да не създават непропорционална тежест при докладването от страна на по-малките финансови субекти. За да се отговори обаче на ситуации, при които значителен брой клиенти са засегнати от инцидент, който сам по себе си не надвишава приложимия праг, следва да се определи абсолютен праг, насочен главно към по-големите финансови субекти.

(3)

По отношение на рамките за докладване на инциденти, които са се прилагали преди влизането в сила на Регламент (ЕС) 2022/2554, следва да се осигури приемственост за финансовите субекти. Поради това критериите за класифициране и праговете на същественост следва да бъдат приведени в съответствие и съобразени с Насоките на ЕБО относно докладването на съществени инциденти съгласно Директива (ЕС) 2015/2366 на Европейския парламент и на Съвета (2), Насоките за периодично информиране и уведомяване за съществени промени, които трябва да бъдат представени на ЕОЦКП от регистрите на трансакции, Рамката на ЕЦБ/ЕНМ за докладване на киберинциденти и други подходящи насоки. Критериите и праговете за класифициране следва да са подходящи и за финансовите субекти, които не са били обект на изисквания за докладване на инциденти преди Регламент (ЕС) 2022/2554.

(4)

По отношение на критерия за класифициране „размер и брой засегнати трансакции“, понятието трансакции е широко и обхваща различни дейности и услуги в секторните актове, приложими за финансовите субекти. За целите на този критерий за класифициране следва да бъдат обхванати платежните трансакции и всички форми на обмен на финансови инструменти, криптоактиви, стоки или всякакви други активи, в това число под формата на маржин, обезпечение или залог, както върху парични средства, така и върху всеки друг актив. Всички трансакции, които включват активи, чиято стойност може да бъде изразена в парична сума, следва да се вземат предвид за целите на класифицирането.

(5)

Критериите за класифициране следва да гарантират, че всички съответни видове съществени инциденти са обхванати. Кибератаките, свързани с проникване в мрежови или информационни системи, може да не са непременно обхванати от много критерии за класифициране. Те обаче са важни, тъй като всяко проникване в мрежови и информационни системи може да навреди на финансовия субект. Съответно критериите за класифициране „засегнати критични услуги“ и „загуби на данни“ следва да бъдат определени по такъв начин, че да обхващат тези видове съществени инциденти, по-специално непозволени прониквания, които, дори ако въздействията не са известни веднага, може да доведат до сериозни последствия, по-специално нарушения на сигурността на данните и изтичане на данни.

(6)

Тъй като кредитните институции са предмет както на рамката за класифициране на инциденти съгласно член 18 от Регламент (ЕС) 2022/2554, така и на рамката за операционния риск съгласно Делегиран регламент (ЕС) 2018/959 на Комисията (3), подходът за оценка на икономическото въздействие на даден инцидент въз основа на изчисляване на разходите и загубите следва да бъде последователен във възможно най-голяма степен спрямо и двете рамки, за да се избегне въвеждането на несъвместими или противоречиви изисквания.

(7)

Критерият във връзка с географския обхват на даден инцидент, посочен в член 18, параграф 1, буква в) от Регламент (ЕС) 2022/2554, следва да е съсредоточен върху трансграничното въздействие на инцидента, тъй като въздействието на инцидента върху дейностите на даден финансов субект в рамките на една юрисдикция ще бъде обхванато от другите критерии, посочени в този член.

(8)

С оглед на това, че критериите за класифициране са взаимозависими и взаимносвързани, подходът за идентифициране на съществени инциденти, които трябва да бъдат докладвани в съответствие с член 19, параграф 1 от Регламент (ЕС) 2022/2554, следва да се основава на комбинация от критерии, като някои от критериите, които са тясно свързани с определенията за инцидент с ИКТ и съществен инцидент с ИКТ, посочени в член 3, параграфи 8 и 10 от Регламент (ЕС) 2022/2554, следва да имат по-голяма тежест при класифицирането на съществени инциденти в сравнение с други критерии.

(9)

С цел да се гарантира, че докладите и уведомленията за съществени инциденти, получени от компетентните органи съгласно член 19, параграф 1 от Регламент (ЕС) 2022/2554, служат както за надзорни цели, така и за предотвратяване на разпространението им в целия финансов сектор, праговете на същественост следва да дават възможност за обхващане на съществените инциденти и да бъдат насочени, наред с другото, към въздействието върху специфичните критични услуги на субекта, специфичните абсолютни и относителни прагове на клиентите или финансовите контрагенти, трансакциите, които показват съществено въздействие върху финансовия субект, и значимостта на въздействието в други държави членки.

(10)

Инциденти, които засягат услуги в областта на ИКТ или мрежови и информационни системи, поддържащи критични или важни функции, или финансови услуги, изискващи разрешение, или злонамерен непозволен достъп до мрежови и информационни системи, поддържащи критични или важни функции, следва да се смятат за инциденти, засягащи критични услуги на финансовите субекти. Злонамереният, непозволен достъп до мрежови и информационни системи, поддържащи критични или важни функции на финансовите субекти, създава сериозни рискове за финансовия субект, и, тъй като те могат да засегнат други финансови субекти, винаги следва да се смята за съществен инцидент, който трябва да бъде докладван.

(11)

Повтарящи се инциденти, свързани чрез сходна очевидна първопричина, които поотделно не са съществени инциденти, може да показват значителни недостатъци и слабости в процедурите на финансовия субект за управление на инциденти и за управление на риска. Поради това повтарящите се инциденти следва да се разглеждат съвкупно като съществени, когато настъпват многократно за определен период от време.

(12)

Като се има предвид, че киберзаплахите могат да окажат отрицателно въздействие върху финансовия субект и сектора, значителните киберзаплахи, за които финансовите субекти могат да представят уведомление, следва да показват вероятността от осъществяване и критичността на потенциалното въздействие. Съответно, за да се осигури ясна и последователна оценка на значимостта на киберзаплахите, класифицирането на дадена киберзаплаха като значителна следва да зависи от вероятността за това критериите за класифициране на съществени инциденти да бъдат изпълнени, а праговете им да бъдат достигнати, ако заплахата се осъществи, от вида на киберзаплахата и от информацията, с която разполага финансовият субект.

(13)

С оглед на това, че компетентните органи в други държави членки трябва да бъдат уведомявани за инциденти, които засягат финансови субекти и клиенти в тяхната юрисдикция, оценката на въздействието в друга юрисдикция в съответствие с член 19, параграф 7 от Регламент (ЕС) 2022/2554 следва да се извършва въз основа на първопричината за инцидента, на потенциалното разпространение чрез трети страни доставчици и на инфраструктурите на финансовите пазари, както и въз основа на въздействието на инцидента върху значителни групи клиенти или финансови контрагенти.

(14)

Процесите на докладване и уведомяване, посочени в член 19, параграфи 6 и 7 от Регламент (ЕС) 2022/2554, следва да позволяват на съответните получатели да оценяват въздействието на инцидентите. Следователно предадената информация трябва да обхваща всички подробности, съдържащи се в докладите за инциденти, представени от финансовия субект на компетентния орган.

(15)

Когато даден инцидент представлява нарушение на сигурността на личните данни съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (4) и Директива 2002/58/ЕО на Европейския парламент и на Съвета (5), настоящият регламент не следва да засяга задълженията за записване и уведомяване за нарушения на сигурността на личните данни, посочени в тези закони на Съюза. Компетентните органи следва да си сътрудничат и да обменят информация по всички съответни въпроси с органите, посочени в Регламент (ЕС) 2016/679 и Директива 2002/58/ЕО.

(16)

Настоящият регламент се основава на проектите на регулаторни технически стандарти, представени на Комисията от европейските банкови органи в консултации с Европейската агенция за киберсигурност (ENISA) и Европейската централна банка (ЕЦБ).

(17)

Съвместният комитет на европейските надзорни органи, посочен в член 54 от Регламент (ЕС) № 1093/2010 на Европейския парламент и на Съвета (6), в член 54 от Регламент (ЕС) № 1094/2010 на Европейския парламент и на Съвета (7) и в член 54 от Регламент (ЕС) № 1095/2010 на Европейския парламент и на Съвета, (8) проведе открити обществени консултации по проектите на регулаторни технически стандарти, въз основа на които е изготвен настоящият регламент, анализира потенциалните разходи и ползи от предложените стандарти и поиска мнението на Групата на участниците от банковия сектор, създадена в съответствие с член 37 от Регламент (ЕС) № 1093/2010, Групата на участниците от сектора на застраховането и презастраховането, създадена в съответствие с член 37 от Регламент (ЕС) № 1094/2010, и Групата на участниците от сектора на ценните книжа и пазарите, създадена в съответствие с член 37 от Регламент (ЕС) № 1095/2010.

(18)

В съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (9) беше проведена консултация с Европейския надзорен орган по защита на данните, който прие становище на 24 януари 2024 г.,