Preamble: 1

(1)

Forordning (EU) 2022/2554 har til formål at harmonisere og strømline kravene til indberetning af IKT-relaterede hændelser og til operationelle eller sikkerhedsmæssige betalingsrelaterede hændelser, som berører kreditinstitutter, betalingsinstitutter, kontooplysningstjenesteudbydere og e-pengeinstitutter (»hændelser«). I betragtning af at indberetningskravene omfatter 20 forskellige typer finansielle enheder, bør klassificeringskriterierne og væsentlighedstærsklerne til bestemmelse af større hændelser og væsentlige cybertrusler beskrives på en enkel, harmoniseret og konsekvent måde, der tager hensyn til de særlige forhold, der gør sig gældende for alle relevante finansielle enheders tjenester og aktiviteter.

(2)

For at sikre proportionalitet bør klassificeringskriterierne og væsentlighedstærsklerne afspejle størrelsen og den overordnede risikoprofil samt karakteren, omfanget og kompleksiteten af alle finansielle enheders tjenester. Desuden bør kriterierne og væsentlighedstærsklerne udformes således, at de anvendes konsekvent på alle finansielle enheder, uanset deres størrelse og risikoprofil, og at de ikke udgør en uforholdsmæssigt stor indberetningsbyrde for mindre finansielle enheder. For at håndtere situationer, hvor et betydeligt antal kunder er berørt af en hændelse, der som sådan ikke overstiger den gældende tærskel, bør der dog fastsættes en absolut tærskel, der primært er rettet mod større finansielle enheder.

(3)

I forbindelse med rammer for indberetning af hændelser, som har eksisteret før forordning (EU) 2022/2554 trådte i kraft, bør der sikres kontinuitet for finansielle enheder. Klassificeringskriterierne og væsentlighedstærsklerne bør derfor tilpasses og inspireres af EBA's retningslinjer for indberetning af større hændelser i henhold til Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 (2), retningslinjerne for periodiske oplysninger og underretning om væsentlige ændringer, som transaktionsregistre skal indgive til ESMA, ECB's/FTM's ramme for indberetning af cyberhændelser og anden relevant vejledning. Klassificeringskriterierne og tærsklerne bør også være egnede til de finansielle enheder, der ikke har været underlagt krav om indberetning af hændelser forud for forordning (EU) 2022/2554.

(4)

Med hensyn til klassificeringskriteriet »Berørt beløb på og antal af berørte transaktioner« er begrebet transaktioner bredt og dækker forskellige aktiviteter og tjenesteydelser på tværs af de sektorspecifikke retsakter, der finder anvendelse på finansielle enheder. Med henblik på dette klassificeringskriterium bør det ligeledes omfatte betalingstransaktioner og alle former for udveksling af finansielle instrumenter, kryptoaktiver, råvarer eller andre aktiver, også i form af margen, sikkerhedsstillelse eller pant, både mod kontanter og andre aktiver. Alle transaktioner, der involverer aktiver, hvis værdi kan udtrykkes i et pengebeløb, bør tages i betragtning til klassificeringsformål.

(5)

Klassificeringskriterierne bør sikre, at der tages højde for alle relevante typer større hændelser. Mange klassificeringskriterier tager ikke nødvendigvis højde for cyberangreb i forbindelse med indtrængen i netværk eller informationssystemer. De er imidlertid vigtige, da enhver form for indtrængen i net- og informationssystemer kan skade den finansielle enhed. Klassificeringskriterierne »berørte kritiske tjenester« og »datatab« bør derfor præciseres på en sådan måde, at de tager højde for disse typer af større hændelser, navnlig uautoriseret indtrængen, som kan få alvorlige konsekvenser, heriblandt brud på datasikkerheden og datalækager, og det til trods for, at virkningerne ikke viser sig med det samme.

(6)

Eftersom kreditinstitutter både er omfattet af rammen for klassificering af hændelser i henhold til artikel 18 i forordning (EU) 2022/2554 og rammen for operationel risiko i henhold til Kommissionens delegerede forordning (EU) 2018/959 (3), bør metoden til vurdering af de økonomiske virkninger af en hændelse, baseret på beregningen af omkostninger og tab, i videst muligt omfang være konsekvent på tværs af begge rammer for at undgå at indføre uforenelige eller modstridende krav.

(7)

Kriteriet vedrørende den geografiske udbredelse af en hændelse, der er fastsat i artikel 18, stk. 1, litra c), i forordning (EU) 2022/2554, bør fokusere på hændelsens grænseoverskridende virkninger, da de andre kriterier i nævnte artikel vil tage højde for en hændelses virkninger for en finansiel enheds aktiviteter inden for en enkelt jurisdiktion.

(8)

Eftersom klassificeringskriterierne er indbyrdes afhængige og forbundet med hinanden, bør metoden til identifikation af større hændelser, der skal indberettes i henhold til artikel 19, stk. 1, i forordning (EU) 2022/2554, baseres på en kombination af kriterier, hvor nogle kriterier, der er tæt knyttet til definitionerne af en IKT-relateret hændelse og en større IKT-relateret hændelse, jf. artikel 3, stk. 8 og 10, i forordning (EU) 2022/2554, bør spille en mere fremtrædende rolle i klassificeringen af større hændelser end andre kriterier.

(9)

Med henblik på at sikre, at de indberetninger og underretninger om større hændelser, som de kompetente myndigheder modtager i henhold til artikel 19, stk. 1, i forordning (EU) 2022/2554, er relevante både til tilsynsformål og med henblik på forhindring af afsmitning på tværs af den finansielle sektor, bør væsentlighedstærsklerne gøre det muligt at tage højde for større hændelser ved bl.a. at fokusere på virkninger for enhedsspecifikke kritiske tjenester, de specifikke absolutte og relative tærskler for kunder, finansielle modparter eller transaktioner, som er indikator på væsentlige virkninger for den finansielle enhed, og virkningernes betydning i andre medlemsstater.

(10)

Hændelser, der påvirker IKT-tjenester eller net- og informationssystemer, der understøtter kritiske eller vigtige funktioner, eller finansielle tjenester, der kræver tilladelse, eller ondsindet uautoriseret adgang til net- og informationssystemer, der understøtter kritiske eller vigtige funktioner, bør betragtes som hændelser, der påvirker kritiske tjenester i de finansielle enheder. Ondsindet, uautoriseret adgang til net- og informationssystemer, der understøtter finansielle enheders kritiske eller vigtige funktioner, udgør alvorlige risici for den finansielle enhed og bør, da de kan påvirke andre finansielle enheder, altid betragtes som større hændelser, der skal indberettes.

(11)

Tilbagevendende hændelser, der er indbyrdes forbundet gennem en lignende åbenlys grundlæggende årsag, som hver for sig ikke er større hændelser, kan være tegn på væsentlige mangler og svagheder i den finansielle enheds hændelses- og risikostyringsprocedurer. Tilbagevendende hændelser bør derfor samlet set betragtes som større, hvis de forekommer gentagne gange over en vis periode.

(12)

I betragtning af at cybertrusler kan have en negativ indvirkning på den finansielle enhed og den finansielle sektor, bør de væsentlige cybertrusler, som finansielle enheder kan indberette, fungere som indikator for sandsynligheden for, at de opstår og den potentielle indvirknings kritiske betydning. For at sikre en klar og konsekvent vurdering af cybertruslernes betydning bør klassificeringen af en cybertrussel som væsentlig derfor afhænge af sandsynligheden for, at klassificeringskriterierne for større hændelser og tærsklen herfor ville være opfyldt, hvis truslen var opstået, af typen af cybertrussel og af de oplysninger, der er til rådighed for den finansielle enhed.

(13)

I betragtning af at kompetente myndigheder i andre medlemsstater skal underrettes om hændelser, der påvirker finansielle enheder og kunder i deres jurisdiktion, bør vurderingen af indvirkningen i en anden jurisdiktion i overensstemmelse med artikel 19, stk. 7, i forordning (EU) 2022/2554 baseres på den grundlæggende årsag til hændelsen, på potentiel afsmitning gennem tredjepartsudbydere og på finansielle markedsinfrastrukturer samt på hændelsens indvirkning på vigtige grupper af kunder eller finansielle modparter.

(14)

De indberetnings- og underretningsprocesser, der er omhandlet i artikel 19, stk. 6 og 7, i forordning (EU) 2022/2554, bør gøre det muligt for de respektive modtagere at vurdere indvirkningen af hændelserne. De indberettede oplysninger bør derfor omfatte alle detaljer i de hændelsesindberetninger, som den finansielle enhed indsender til den kompetente myndighed.

(15)

Hvis en hændelse udgør et brud på persondatasikkerheden i henhold til Europa-Parlamentets og Rådets forordning (EU) 2016/679 (4) og Europa-Parlamentets og Rådets direktiv 2002/58/EF (5), bør nærværende forordning ikke berøre indberetnings- og underretningspligten i forbindelse med brud på persondatasikkerheden som fastsat i disse EU-retsakter. De kompetente myndigheder bør samarbejde og udveksle oplysninger om alle relevante spørgsmål med de myndigheder, der er omhandlet i forordning (EU) 2016/679 og direktiv 2002/58/EF.

(16)

Denne forordning er baseret på det udkast til reguleringsmæssige tekniske standarder, som de europæiske tilsynsmyndigheder har forelagt Kommissionen i samråd med Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) og Den Europæiske Centralbank (ECB).

(17)

Det Fælles Udvalg af Europæiske Tilsynsmyndigheder, jf. artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (6), artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1094/2010 (7) og artikel 54 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010 (8), har afholdt åbne offentlige høringer om det udkast til reguleringsmæssige tekniske standarder, som ligger til grund for denne forordning, analyseret de potentielle omkostninger og fordele ved de foreslåede standarder og anmodet om rådgivning fra interessentgruppen for banker, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1093/2010, interessentgruppen for forsikrings- og genforsikringsordninger og interessentgruppen for arbejdsmarkedspensionsordninger, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1094/2010, og interessentgruppen for værdipapirer og markeder, der er nedsat i henhold til artikel 37 i forordning (EU) nr. 1095/2010.

(18)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (9) og afgav en udtalelse den 24. januar 2024 —