ДЕЛЕГИРАН РЕГЛАМЕНТ (ЕС) 2025/301 НА КОМИСИЯТА от 23 октомври 2024 година за допълнение на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета по отношение на регулаторните технически стандарти, с които се определят съдържанието и сроковете за първоначалното уведомление и неокончателния и окончателния доклад за съществени инциденти с ИКТ, както и съдържанието на уведомлението на доброволен принцип за значителни киберзаплахи (текст от значение за ЕИП)

(1)

За да се гарантира хармонизирането и опростяването на изискванията за уведомяване и докладване на съществени инциденти с ИКТ, посочени в член 19, параграф 4 от Регламент (ЕС) 2022/2554, за всички видове финансови субекти следва да се прилага съгласуван подход за сроковете за докладване на съществени инциденти с ИКТ. Поради тези причини за сроковете следва също така, във възможно най-голяма степен, да се прилага съгласуван подход с изискванията, посочени в Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета (2), както и те да бъдат поне равностойни като резултат на тези изисквания.

(2)

За да се избегне налагането на прекомерна тежест за докладване на финансовите субекти в момент, когато работят по отстраняването на инцидент с ИКТ, съдържанието на първоначалното уведомление следва да бъде ограничено до най-съществената информация. За да могат да предприемат подходящи надзорни действия, компетентните органи трябва да получават информация за съществени инциденти с ИКТ възможно най-бързо, след като финансовият субект е класифицирал даден инцидент с ИКТ като съществен. Следователно срокът за подаване на първоначалното уведомление, посочен в член 19, параграф 4, буква а) от Регламент (ЕС) 2022/2554, следва да бъде възможно най-кратък след класифицирането на инцидент с ИКТ като съществен, като същевременно се допуска гъвкавост, по-специално за моделите на стопанска дейност, при които предоставянето на услуги не е особено ограничено във времето, в случай че финансовите субекти се нуждаят от повече време за справяне с инцидента с ИКТ, след като са узнали за него.

(3)

След като са получили първоначалното уведомление, компетентните органи следва да получат по-подробна информация за инцидента с ИКТ в неокончателния доклад, а цялата необходима информация — в окончателния доклад. Информацията в тези доклади следва да даде възможност на компетентните органи да направят допълнителна оценка на инцидента с ИКТ и да преценят надзорните действия, които биха желали да предприемат.

(4)

Следователно със сроковете за докладване, посочени в член 20, първа алинея, буква а), точка ii) от Регламент (ЕС) 2022/2554, следва да се постигне баланс между необходимостта компетентните органи да получат информацията бързо и необходимостта да се предостави на финансовите субекти достатъчно време за получаване на пълна и точна информация.

(5)

Като се вземат предвид критериите, посочени в член 20, първа алинея, буква а) от Регламент (ЕС) 2022/2554, сроковете за докладване не следва да представляват непропорционална тежест за микропредприятията и за други финансови субекти, които не са значими. Освен това, за да се избегне непропорционалната тежест за финансовите субекти, в сроковете за докладване следва да се вземат предвид почивните дни и официалните празници.

(6)

Тъй като уведомяването за значителни киберзаплахи е на доброволен принцип, съдържанието на такива уведомления не следва да създава тежест за финансовите субекти и следва да бъде по-ограничено от информацията, която се изисква за съществени инциденти с ИКТ.

(7)

Настоящият регламент е изготвен въз основа на проектите на регулаторни технически стандарти, представени на Комисията от европейските надзорни органи.

(8)

Европейските надзорни органи проведоха открити обществени консултации по проектите на регулаторните технически стандарти, въз основа на които е изготвен настоящият регламент, анализираха потенциалните разходи и ползи и поискаха становище от групите на заинтересовани страни, създадени в съответствие с член 37 от регламенти (ЕС) № 1093/2010 (3), (ЕС) № 1094/2010 (4) и (ЕС) № 95/2010 (5) на Европейския парламент и на Съвета.

(9)

В съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (6) беше проведена консултация с Европейския надзорен орган по защита на данните, който прие положително становище на 22 юли 2024 г. Всяко обработване на лични данни в обхвата на настоящия регламент следва да се извършва в съответствие с приложимите принципи и разпоредби за защита на данните на Регламент (ЕС) 2018/1725,