KOMISIJOS DELEGUOTASIS REGLAMENTAS (ES) 2025/301 2024 m. spalio 23 d. kuriuo Europos Parlamento ir Tarybos reglamentas (ES) 2022/2554 papildomas techniniais reguliavimo standartais, kuriais nustatomas pradinio pranešimo, tarpinio pranešimo ir galutinio pranešimo apie didelius su IRT susijusius incidentus turinys ir pateikimo terminai, taip pat savanoriško pranešimo apie dideles kibernetines grėsmes turinys (Tekstas svarbus EEE)

(1)

siekiant užtikrinti, kad Reglamento (ES) 2022/2554 19 straipsnio 4 dalyje nurodyti pranešimo apie didelius su IRT susijusius incidentus reikalavimai būtų suderinti ir racionalizuoti, pranešimo apie didelius su IRT susijusius incidentus terminai turėtų būti nuosekliai taikomi visų rūšių finansų sektoriaus subjektams. Dėl šių priežasčių terminai taip pat turėtų kuo labiau atitikti Europos Parlamento ir Tarybos direktyvoje (ES) 2022/2555 (2) nustatytus reikalavimus ir būti bent jiems lygiaverčiai;

(2)

siekiant išvengti nereikalingos pranešimo naštos finansų sektoriaus subjektams tuo metu, kai jie šalina su IRT susijusį incidentą, pradinio pranešimo turinys turėtų apsiriboti svarbiausia informacija. Kad galėtų imtis tinkamų priežiūros veiksmų, kompetentingos institucijos turi gauti informaciją apie didelius su IRT susijusius incidentus kuo greičiau po to, kai finansų sektoriaus subjektas su IRT susijusį incidentą priskiria dideliems incidentams. Todėl pradinio pranešimo, nurodyto Reglamento (ES) 2022/2554 19 straipsnio 4 dalies a punkte, pateikimo terminas turėtų būti kuo trumpesnis po to, kai su IRT susijęs incidentas priskiriamas dideliems incidentams, kartu vis tiek suteikiant lankstumo, ypač kai taikomi paslaugų verslo modeliai, kuriems laikas nėra ypač svarbus, jei finansų sektoriaus subjektams, sužinojusiems apie su IRT susijusį incidentą, reikia daugiau laiko jam pašalinti;

(3)

gavusios pradinį pranešimą, kompetentingos institucijos išsamesnės informacijos apie su IRT susijusį incidentą turėtų gauti tarpiniame pranešime, o visą susijusią informaciją – galutiniame pranešime. Turėdamos tuose pranešimuose pateiktą informaciją kompetentingos institucijos turėtų galėti geriau įvertinti su IRT susijusį incidentą ir priežiūros veiksmus, kurių jos gali norėti imtis;

(4)

todėl nustatant Reglamento (ES) 2022/2554 20 straipsnio pirmos pastraipos a punkto ii papunktyje nurodytus pranešimų pateikimo terminus turėtų būti derinamas kompetentingų institucijų poreikis greitai gauti informaciją ir finansų sektoriaus subjektų poreikis turėti pakankamai laiko gauti išsamią ir tikslią informaciją;

(5)

atsižvelgiant į Reglamento (ES) 2022/2554 20 straipsnio pirmos pastraipos a punkte nustatytus kriterijus, nustatytais pranešimų pateikimo terminais labai mažoms įmonėms ir kitiems finansų sektoriaus subjektams, kurie nėra dideli, neturėtų būti užkraunama neproporcinga našta. Be to, kad būtų išvengta neproporcingos naštos finansų sektoriaus subjektams, nustatant pranešimų pateikimo terminus turėtų būti atsižvelgiama į savaitgalius ir švenčių dienas;

(6)

kadangi apie dideles kibernetines grėsmes turi būti pranešama savanoriškai, tokių pranešimų turinys neturėtų tapti finansų sektoriaus subjektams našta ir turėtų būti labiau apribotas, palyginti su informacija, kurią prašoma pateikti pranešant apie didelius su IRT susijusius incidentus;

(7)

šis reglamentas grindžiamas techninių reguliavimo standartų projektais, kuriuos Komisijai pateikė Europos priežiūros institucijos;

(8)

Europos priežiūros institucijos dėl techninių reguliavimo standartų projektų, kuriais pagrįstas šis reglamentas, surengė atviras viešas konsultacijas, išnagrinėjo galimas susijusias sąnaudas ir naudą ir paprašė suinteresuotųjų subjektų grupių, įsteigtų pagal Europos Parlamento ir Tarybos reglamentų (ES) Nr. 1093/2010 (3), (ES) Nr. 1094/2010 (4) ir (ES) Nr. 1095/2010 (5) 37 straipsnį, patarimo;

(9)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (6) 42 straipsnio 1 dalimi, buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis pateikė teigiamą nuomonę 2024 m. liepos 22 d. Bet koks asmens duomenų tvarkymas pagal šį reglamentą turėtų būti atliekamas laikantis Reglamente (ES) 2018/1725 nustatytų taikytinų duomenų apsaugos principų ir nuostatų,