KOMISSION DELEGOITU ASETUS (EU) 2024/1772, annettu 13 päivänä maaliskuuta 2024, Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 täydentämisestä teknisillä sääntelystandardeilla, joissa täsmennetään TVT:hen liittyvien poikkeamien ja kyberuhkien luokittelukriteerit, vahvistetaan olennaisuusrajat ja täsmennetään laajavaikutteisia poikkeamia koskevien raporttien yksityiskohdat (ETA:n kannalta merkityksellinen teksti)

(1)

Asetuksella (EU) 2022/2554 pyritään yhdenmukaistamaan ja virtaviivaistamaan raportointivaatimuksia, jotka koskevat TVT:hen liittyviä poikkeamia ja luottolaitoksia, maksulaitoksia, tilitietopalvelun tarjoajia ja sähköisen rahan liikkeeseenlaskijoita koskevia toiminnan harjoittamiseen tai turvallisuuteen vaikuttavia maksuihin liittyviä poikkeamia, jäljempänä ’poikkeamat’. Koska raportointivaatimukset kattavat 20 eri finanssiyhteisötyyppiä, luokittelukriteerejä ja olennaisuusrajoja laajavaikutteisten poikkeamien ja merkittävien kyberuhkien määrittämiseksi olisi täsmennettävä yksinkertaisella, yhdenmukaistetulla ja johdonmukaisella tavalla, jossa otetaan huomioon kaikkien asiaankuuluvien finanssiyhteisöjen palvelujen ja toimintojen erityispiirteet.

(2)

Oikeasuhteisuuden varmistamiseksi luokittelukriteereissä ja olennaisuusrajoissa olisi otettava huomioon kaikkien finanssiyhteisöjen koko ja yleinen riskiprofiili sekä palvelujen luonne, laajuus ja monitahoisuus. Lisäksi kriteerit ja olennaisuusrajat olisi suunniteltava siten, että niitä voidaan soveltaa johdonmukaisesti kaikkiin finanssiyhteisöihin niiden koosta ja riskiprofiilista riippumatta, eivätkä ne aiheuta suhteetonta raportointitaakkaa pienemmille finanssiyhteisöille. Jotta voidaan kuitenkin puuttua tilanteisiin, joissa poikkeama, joka ei sinällään ylitä sovellettavaa olennaisuusrajaa, vaikuttaa merkittävään määrään asiakkaita, olisi vahvistettava pääasiassa suurille finanssiyhteisöille tarkoitettu absoluuttinen olennaisuusraja.

(3)

Ennen asetuksen (EU) 2022/2554 voimaantuloa olemassa olleiden poikkeamien raportointikehysten suhteen olisi varmistettava jatkuvuus finanssiyhteisöjen osalta. Sen vuoksi luokittelukriteerien ja olennaisuusrajojen olisi oltava yhdenmukaisia EPV:n Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/2366 (2) mukaisesti antamien laajavaikutteisten poikkeamien raportointia koskevien ohjeiden, kauppatietorekisterien ESMAlle säännöllisin väliajoin toimitettavia tietoja ja olennaisten muutosten ilmoittamista koskevien ohjeiden, EKP:n/YVM:n kyberpoikkeamien raportointikehyksen ja muiden asiaankuuluvien ohjeiden kanssa ja hyödynnettävä niitä. Luokittelukriteerien ja olennaisuusrajojen olisi sovelluttava myös niille finanssiyhteisöille, joihin ei ole sovellettu poikkeamien raportointia koskevia vaatimuksia ennen asetusta (EU) 2022/2554.

(4)

Luokittelukriteerin ”vaikutusten kohteena olevien liiketoimien arvo ja lukumäärä” osalta liiketoimien käsite on laaja ja kattaa erilaisia toimintoja ja palveluja finanssiyhteisöihin sovellettavissa alakohtaisissa säädöksissä. Kyseisen luokittelukriteerin olisi katettava maksutapahtumat ja kaikenlainen rahoitusvälineiden, kryptovarojen, hyödykkeiden tai minkä tahansa muiden omaisuuserien vaihto, myös marginaalin, vakuuden tai pantin muodossa, käteistä ja mitä tahansa muita omaisuuseriä vastaan. Kaikki liiketoimet, joihin liittyy omaisuuseriä, joiden arvo voidaan ilmaista rahamääränä, olisi otettava huomioon luokittelussa.

(5)

Luokittelukriteereillä pyritään varmistamaan, että kaikki asiaankuuluvat laajavaikutteisten poikkeamien tyypit havaitaan. Monilla luokittelukriteereillä ei välttämättä pystytä havaitsemaan verkko- tai tietojärjestelmiin tunkeutumiseen liittyviä kyberhyökkäyksiä. Ne ovat kuitenkin tärkeitä, koska kaikki tunkeutumiset verkko- ja tietojärjestelmiin voivat vahingoittaa finanssiyhteisöä. Näin ollen luokittelukriteerejä ”vaikutuksen kohteena olevat kriittiset palvelut” ja ”datan menetykset” olisi täsmennettävä siten, että pystytään havaitsemaan tämäntyyppiset laajavaikutteiset poikkeamat, erityisesti luvattomat tunkeutumiset, joilla voi olla vakavia seurauksia, kuten tietoturvaloukkauksia ja tietovuotoja, vaikka vaikutuksia ei havaittaisi välittömästi.

(6)

Koska luottolaitoksiin sovelletaan sekä asetuksen (EU) 2022/2554 18 artiklan mukaista poikkeamien luokittelukehystä että komission delegoidun asetuksen (EU) 2018/959 (3) mukaista operatiivisen riskin kehystä, poikkeaman aiheuttamien kustannusten ja tappioiden laskentaan perustuvan taloudellisten vaikutusten arviointimenetelmän olisi oltava mahdollisimman yhdenmukainen molemmissa kehyksissä, jotta vältetään yhteensopimattomien tai ristiriitaisten vaatimusten käyttöönotto.

(7)

Asetuksen (EU) 2022/2554 18 artiklan 1 kohdan c alakohdassa säädetyn poikkeaman maantieteellistä laajuutta koskevan kriteerin pitäisi keskittyä poikkeaman rajatylittävään vaikutukseen, koska poikkeaman vaikutus finanssiyhteisön toimintaan yhdellä lainkäyttöalueella katetaan kyseisessä artiklassa vahvistetuilla muilla kriteereillä.

(8)

Koska luokittelukriteerit ovat toisistaan riippuvaisia ja liittyvät toisiinsa, asetuksen (EU) 2022/2554 19 artiklan 1 kohdan mukaisesti raportoitavien laajavaikutteisten poikkeamien tunnistamiseen käytettävän lähestymistavan olisi perustuttava eri kriteerien yhdistelmään, jossa joillakin kriteereillä, jotka liittyvät läheisesti asetuksen (EU) 2022/2554 3 artiklan 8 ja 10 alakohdassa vahvistettuihin TVT:hen liittyvän poikkeaman ja laajavaikutteisen TVT:hen liittyvän poikkeaman määritelmiin, olisi oltava enemmän painoarvoa laajavaikutteisten poikkeamien luokittelussa kuin muilla kriteereillä.

(9)

Jotta voidaan varmistaa, että toimivaltaisten viranomaisten asetuksen (EU) 2022/2554 19 artiklan 1 kohdan mukaisesti saamia laajavaikutteisia poikkeamia koskevia raportteja ja ilmoituksia käytetään sekä valvontatarkoituksiin että poikkeamien leviämisen estämiseen finanssialalla, olennaisuusrajojen olisi mahdollistettava laajavaikutteisten poikkeamien havaitseminen keskittymällä muun muassa yhteisökohtaisiin kriittisiin palveluihin kohdistuviin vaikutuksiin, asiakkaiden tai finanssialan vastapuolten tiettyihin absoluuttisiin ja suhteellisiin kynnysarvoihin, finanssiyhteisöön kohdistuvaan olennaiseen vaikutukseen viittaaviin liiketoimiin ja vaikutuksen merkittävyyteen muissa jäsenvaltioissa.

(10)

Poikkeamat, jotka vaikuttavat kriittisiä tai tärkeitä toimintoja tukeviin TVT-palveluihin tai verkko- ja tietojärjestelmiin tai toimilupaa edellyttäviin finanssipalveluihin, tai kriittisiä tai tärkeitä toimintoja tukevien verkko- ja tietojärjestelmien tahallinen luvaton käyttö olisi katsottava poikkeamiksi, jotka vaikuttavat finanssiyhteisöjen kriittisiin palveluihin. Finanssiyhteisöjen kriittisiä tai tärkeitä toimintoja tukevien verkko- ja tietojärjestelmien tahallinen luvaton käyttö aiheuttaa vakavia riskejä finanssiyhteisölle, ja koska se voi vaikuttaa muihin finanssiyhteisöihin, sitä olisi aina pidettävä laajavaikutteisena poikkeamana, josta on raportoitava.

(11)

Toistuvat poikkeamat, joita yhdistää samankaltainen ilmeinen perimmäisen syy ja jotka eivät yksittäin ole laajavaikutteisia poikkeamia, voivat viitata merkittäviin puutteisiin ja heikkouksiin finanssiyhteisön poikkeamia ja riskinhallintaa koskevissa menettelyissä. Toistuvia poikkeamia olisi sen vuoksi pidettävä kokonaisuutena laajavaikutteisina, jos niitä esiintyy toistuvasti tietyn ajanjakson aikana.

(12)

Kun otetaan huomioon, että kyberuhkilla voi olla haitallinen vaikutus finanssiyhteisöön ja finanssialaan, finanssiyhteisön merkittäviä kyberuhkia koskevassa raportoinnissa olisi ilmaistava kyseisten uhkien toteutumisen todennäköisyys ja mahdollisten vaikutusten kriittisyys. Jotta voidaan varmistaa kyberuhkien merkittävyyden selkeä ja johdonmukainen arviointi, kyberuhkan merkittäväksi luokittelun olisi perustuttava siihen, miten todennäköistä on, että laajavaikutteisten poikkeamien luokittelukriteerit täyttyisivät ja olennaisuusrajat ylittyisivät uhkan toteutuessa, sekä kyberuhkan tyyppiin ja finanssiyhteisön saatavilla oleviin tietoihin.

(13)

Kun otetaan huomioon, että muiden jäsenvaltioiden toimivaltaisille viranomaisille on ilmoitettava poikkeamista, jotka vaikuttavat finanssiyhteisöihin ja asiakkaisiin niiden lainkäyttöalueella, asetuksen (EU) 2022/2554 19 artiklan 7 kohdan mukaisen toiselle lainkäyttöalueelle ulottuvien vaikutusten arvioinnin olisi perustuttava poikkeaman perimmäiseen syyhyn, vaikutusten mahdolliseen leviämiseen palveluntarjoajana olevien kolmansien osapuolten kautta, rahoitusmarkkinoiden infrastruktuureihin ja poikkeaman vaikutukseen merkittäviin asiakasryhmiin tai finanssialan vastapuoliin.

(14)

Asetuksen (EU) 2022/2554 19 artiklan 6 ja 7 kohdassa tarkoitettujen raportointi- ja ilmoitusmenettelyjen olisi mahdollistettava se, että vastaanottajat voivat arvioida poikkeamien vaikutuksia. Sen vuoksi toimitettavien tietojen olisi katettava kaikki finanssiyhteisön toimivaltaiselle viranomaiselle toimittamiin poikkeamia koskeviin raportteihin sisältyvät yksityiskohtaiset tiedot.

(15)

Jos poikkeama katsotaan Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (4) ja Euroopan parlamentin ja neuvoston direktiivin 2002/58 (5) mukaiseksi henkilötietojen tietoturvaloukkaukseksi, tämä asetus ei saisi vaikuttaa kyseisessä unionin lainsäädännössä säädettyihin henkilötietojen tietoturvaloukkausten kirjaamista ja ilmoittamista koskeviin velvoitteisiin. Toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja kaikista merkityksellisistä asioista asetuksessa (EU) 2016/679 ja direktiivissä 2002/58/EY tarkoitettujen viranomaisten kanssa.

(16)

Tämä asetus perustuu teknisten sääntelystandardien luonnoksiin, jotka Euroopan valvontaviranomaiset ovat toimittaneet komissiolle Euroopan unionin kyberturvallisuusvirastoa (ENISA) ja Euroopan keskuspankkia (EKP) kuullen.

(17)

Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1093/2010 (6) 54 artiklassa, Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1094/2010 (7) 54 artiklassa ja Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1095/2010 (8) 54 artiklassa tarkoitettu Euroopan valvontaviranomaisten yhteiskomitea on järjestänyt avoimia julkisia kuulemisia teknisten sääntelystandardien luonnoksista, joihin tämä asetus perustuu, analysoinut ehdotettujen standardien mahdollisia kustannuksia ja hyötyjä sekä pyytänyt neuvontaa asetuksen (EU) N:o 1093/2010 37 artiklan mukaisesti perustetulta pankkialan osallisryhmältä, asetuksen (EU) N:o 1094/2010 37 artiklan mukaisesti perustetuilta vakuutus- ja jälleenvakuutusalan osallisryhmältä ja lisäeläkealan osallisryhmältä sekä asetuksen (EU) N:o 1095/2010 37 artiklan mukaisesti perustetulta arvopaperimarkkina-alan osallisryhmältä.

(18)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (9) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut lausuntonsa 24 päivänä tammikuuta 2024,