KOMMISSIONENS DELEGEREDE FORORDNING (EU) 2025/301 af 23. oktober 2024 om supplerende regler til Europa-Parlamentets og Rådets forordning (EU) 2022/2554 for så vidt angår reguleringsmæssige tekniske standarder, der præciserer indholdet af og fristerne for den indledende underretning, den foreløbige og endelige rapport om større IKT-relaterede hændelser og indholdet af den frivillige underretning om væsentlige cybertrusler (EØS-relevant tekst)

(1)

For at sikre harmonisering og forenkling af kravene til underretninger og rapporter om større IKT-relaterede hændelser, jf. artikel 19, stk. 4, i forordning (EU) 2022/2554, bør fristerne for indberetning af større IKT-relaterede hændelser følge en konsekvent tilgang for alle typer finansielle enheder. Af samme årsager bør fristerne også i videst muligt omfang følge en tilgang, som hænger sammen med kravene i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 (2), og i det mindste har samme virkning som disse.

(2)

For at undgå at pålægge finansielle enheder en urimelig indberetningsbyrde på et tidspunkt, hvor de håndterer de IKT-relaterede hændelser, bør indholdet af den indledende underretning begrænses til de vigtigste oplysninger. For at kunne træffe passende tilsynsforanstaltninger har de kompetente myndigheder behov for at modtage oplysninger om større IKT-relaterede hændelser så hurtigt som muligt, efter at den finansielle enhed har klassificeret en IKT-relateret hændelse som »større«. Fristen for indgivelse af en indledende underretning, jf. artikel 19, stk. 4, litra a), i forordning (EU) 2022/2554, bør derfor være så kort som muligt efter klassificeringen af en IKT-relateret hændelse som »større«, samtidig med at der stadig gives mulighed for fleksibilitet, navnlig for forretningsmodeller for tjenester, der ikke er særligt tidskritiske, i tilfælde hvor finansielle enheder har brug for mere tid til at håndtere den IKT-relaterede hændelse, efter at de har fået kendskab til den.

(3)

Efter at de kompetente myndigheder har modtaget den indledende underretning, bør de modtage mere udførlige oplysninger om den IKT-relaterede hændelse i den foreløbige rapport og alle relevante oplysninger i den endelige rapport. Oplysningerne i disse rapporter bør sætte de kompetente myndigheder i stand til yderligere at vurdere den IKT-relaterede hændelse og evaluere de tilsynsforanstaltninger, de måtte ønske at træffe.

(4)

De indberetningsfrister, der er omhandlet i artikel 20, stk. 1, litra a), nr. ii), i forordning (EU) 2022/2554, bør derfor afveje behovet for, at de kompetente myndigheder hurtigt modtager oplysningerne, i forhold til behovet for at give finansielle enheder tilstrækkelig tid til at indhente fuldstændige og nøjagtige oplysninger.

(5)

Idet der tages hensyn til kriterierne i artikel 20, stk. 1, litra a), i forordning (EU) 2022/2554, bør indberetningsfristerne ikke udgøre en uforholdsmæssig stor byrde for mikrovirksomheder og andre ikkevæsentlige finansielle enheder. Derudover bør indberetningsfristerne tage højde for weekender og helligdage for at undgå, at finansielle enheder pålægges en uforholdsmæssig stor byrde.

(6)

Da væsentlige cybertrusler skal indberettes på frivillig basis, bør indholdet af sådanne underretninger ikke udgøre en byrde for finansielle enheder og bør være mere begrænset end de oplysninger, der anmodes om i forbindelse med større IKT-relaterede hændelser.

(7)

Denne forordning er baseret på det udkast til reguleringsmæssige tekniske standarder, som ESA'erne har forelagt for Kommissionen.

(8)

De europæiske tilsynsmyndigheder har gennemført åbne offentlige høringer om det udkast til reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, analyseret de potentielle omkostninger og fordele samt anmodet om rådgivning fra interessentgruppen, som er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (3), (EU) nr. 1094/2010 (4) og (EU) nr. 1095/2010 (5).

(9)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (6) og afgav en positiv udtalelse den 22. juli 2024. Behandling af personoplysninger inden for rammerne af nærværende forordning bør ske i overensstemmelse med de gældende databeskyttelsesprincipper og bestemmelserne i forordning (EU) 2018/1725 —