REGULAMENTO DE EXECUÇÃO (UE) 2025/302 DA COMISSÃO de 23 de outubro de 2024 que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita aos formulários, modelos e procedimentos normalizados que as entidades financeiras devem utilizar para comunicar incidentes de caráter severo relacionados com as TIC e notificar uma ciberameaça significativa (Texto relevante para efeitos do EEE)

(1)

A fim de assegurar que as entidades financeiras comunicam os incidentes de caráter severo às respetivas autoridades competentes de forma coerente, bem como assegurar que fornecem a essas autoridades dados de boa qualidade, importa especificar quais os campos de dados que as entidades financeiras devem fornecer nas várias fases da comunicação a que se refere o artigo 19.o, n.o 4, do Regulamento (UE) 2022/2554. É importante que essas informações sejam apresentadas de forma que permita uma visão única do incidente. Por conseguinte, é necessário estabelecer um modelo único de comunicação para esses efeitos.

(2)

As entidades financeiras deverão preencher os campos de dados do modelo de comunicação que correspondem aos requisitos de informação da respetiva notificação ou relatório. No entanto, as entidades financeiras que já disponham de informações que devem fornecer numa fase posterior da comunicação, ou seja, nos relatórios intercalar ou final, deverão ser autorizadas a antecipar a apresentação dos dados.

(3)

Uma vez que incidentes múltiplos ou recorrentes podem constituir um incidente de caráter severo, conforme referido no artigo 8.o do Regulamento Delegado (UE) 2024/1772 da Comissão (2), a conceção do modelo de comunicação e dos campos de dados deverá permitir que as entidades financeiras comuniquem esses incidentes recorrentes.

(4)

A fim de assegurar informações exatas e atualizadas, o modelo de comunicação deverá permitir às entidades financeiras, aquando da apresentação do relatório intercalar e do relatório final, atualizarem todas as informações apresentadas anteriormente e, se necessário, reclassificarem os incidentes de caráter severo como incidentes de caráter não severo.

(5)

A identificação jurídica das entidades deverá ser alinhada com os identificadores especificados nas normas técnicas de execução adotadas nos termos do artigo 28.o, n.o 9, do Regulamento (UE) 2022/2554.

(6)

Caso as entidades financeiras subcontratem a terceiros as obrigações de comunicação de incidentes de caráter severo relacionados com as TIC, as autoridades competentes deverão ter conhecimento da identidade do terceiro que efetua a comunicação em nome da entidade financeira, antes da apresentação da primeira notificação ou comunicação, a fim de verificar a legitimidade do terceiro que efetua a comunicação.

(7)

A fim de identificar facilmente o impacto de um incidente ocorrido ou causado por um terceiro prestador de serviços e que afete várias entidades financeiras num único Estado-Membro, bem como de reduzir o esforço de comunicação para as entidades financeiras, o modelo de comunicação deverá permitir a apresentação de um relatório agregado que abranja informações agregadas sobre o impacto do incidente em todas as entidades financeiras afetadas que classificaram o incidente como sendo de caráter severo.

(8)

O modelo de comunicação deverá ser concebido de forma tecnologicamente neutra, a fim de permitir a sua aplicação no quadro de várias soluções de comunicação de incidentes já existentes ou que possam ser desenvolvidas para a aplicação dos requisitos do Regulamento (UE) 2022/2554.

(9)

A conceção do modelo de comunicação e dos campos de dados deverá facilitar a comunicação de incidentes de caráter severo relacionados com as TIC por terceiros a quem as entidades financeiras subcontrataram a sua obrigação de comunicação em conformidade com o artigo 19.o, n.o 5, do Regulamento (UE) 2022/2554.

(10)

O presente regulamento baseia-se no projeto de normas técnicas de execução apresentado à Comissão pelas Autoridades Europeias de Supervisão.

(11)

As Autoridades Europeias de Supervisão realizaram consultas públicas abertas sobre os projetos de normas técnicas de execução em que se baseia o presente regulamento, analisaram os potenciais custos e benefícios associados e solicitaram o parecer do Grupo das Partes Interessadas do Setor Bancário criado em conformidade com o artigo 37.o dos Regulamentos (UE) n.o 1093/2010 (3), (UE) n.o 1094/2010 (4) e (UE) n.o 1095/2010 (5) do Parlamento Europeu e do Conselho.

(12)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (6) e emitiu parecer positivo em 22 de julho de 2024. Qualquer tratamento de dados pessoais abrangido pelo âmbito de aplicação do presente regulamento deverá ser efetuado em conformidade com os princípios e disposições aplicáveis em matéria de proteção de dados estabelecidos no Regulamento (UE) 2018/1725,