ROZPORZĄDZENIE DELEGOWANE KOMISJI (UE) 2024/1772 z dnia 13 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria klasyfikacji incydentów związanych z ICT i cyberzagrożeń, progi istotności i szczegółowe informacje dotyczące zgłaszania poważnych incydentów (Tekst mający znaczenie dla EOG)

(1)

Rozporządzenie (UE) 2022/2554 ma na celu harmonizację i uproszczenie wymogów w zakresie zgłaszania incydentów związanych z ICT oraz incydentów operacyjnych lub incydentów w zakresie bezpieczeństwa związanych z płatnościami dotyczących instytucji kredytowych, instytucji płatniczych, dostawców świadczących usługę dostępu do informacji o rachunku i instytucji pieniądza elektronicznego („incydenty”). Biorąc pod uwagę, że wymogi dotyczące zgłaszania obejmują 20 różnych rodzajów podmiotów finansowych, kryteria klasyfikacji i progi istotności do celów ustalania poważnych incydentów i znaczących cyberzagrożeń należy określić w prosty, zharmonizowany i spójny sposób, uwzględniający specyfikę usług i działań wykonywanych przez wszystkie odpowiednie podmioty finansowe.

(2)

Aby zapewnić proporcjonalność, kryteria klasyfikacji i progi istotności powinny odzwierciedlać wielkość i ogólny profil ryzyka oraz charakter, skalę i złożoność usług świadczonych przez wszystkie podmioty finansowe. Ponadto kryteria i progi istotności należy opracować w taki sposób, aby miały one spójne zastosowanie do wszystkich podmiotów finansowych, niezależnie od ich wielkości i profilu ryzyka, oraz aby nie stanowiły nieproporcjonalnego obciążenia sprawozdawczego dla mniejszych podmiotów finansowych. Aby jednak uwzględnić sytuacje, w których incydent, który jako taki nie przekracza mającego zastosowanie progu, dotyczy znacznej liczby klientów, należy określić bezwzględny próg skierowany głównie do większych podmiotów finansowych.

(3)

W odniesieniu do ram zgłaszania incydentów, które istniały przed wejściem w życie rozporządzenia (UE) 2022/2554, należy zapewnić podmiotom finansowym ciągłość. W związku z tym kryteria klasyfikacji i progi istotności powinny zostać opracowane na podstawie i dostosowane do wytycznych EUNB w sprawie zgłaszania poważnych incydentów na podstawie dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366 (2), wytycznych w sprawie okresowych informacji i powiadamiania o istotnych zmianach, które mają być przekazywane ESMA przez repozytoria transakcji, ram EBC/SSM dotyczących zgłaszania cyberincydentów oraz innych odpowiednich wytycznych. Kryteria klasyfikacji i progi powinny być również odpowiednie dla podmiotów finansowych, które nie podlegały wymogom dotyczącym zgłaszania incydentów przed wejściem w życie rozporządzenia (UE) 2022/2554.

(4)

W odniesieniu do kryterium klasyfikacji „kwota lub liczba transakcji, których dotyczy incydent”, pojęcie transakcji jest szerokie i obejmuje różne rodzaje działania i usługi uwzględnione w różnych aktach sektorowych mających zastosowanie do podmiotów finansowych. Do celów tego kryterium klasyfikacji należy uwzględnić transakcje płatnicze i wszelkie formy wymiany instrumentów finansowych, kryptoaktywów, towarów lub wszelkich innych aktywów, również w formie depozytu zabezpieczającego, zabezpieczenia lub zastawu, zarówno w zamian za środki pieniężne, jak i za wszelkie inne aktywa. Do celów klasyfikacji należy uwzględnić wszystkie transakcje dotyczące aktywów, których wartość może być wyrażona w kwocie pieniężnej.

(5)

Kryteria klasyfikacji powinny zapewniać uwzględnienie wszystkich istotnych rodzajów poważnych incydentów. Cyberataki związane z włamaniem do sieci lub systemów informatycznych niekoniecznie muszą być objęte wieloma kryteriami klasyfikacji. Są one jednak ważne, ponieważ wszelkie włamania do sieci i systemów informatycznych mogą zaszkodzić podmiotowi finansowemu. W związku z tym kryteria klasyfikacji „Usługi krytyczne, których dotyczy incydent”, i „Utrata danych” należy określić w taki sposób, aby uchwycić te rodzaje poważnych incydentów, w szczególności włamania, które – nawet jeżeli ich skutki nie są natychmiast znane – mogą prowadzić do poważnych konsekwencji, w szczególności naruszeń ochrony danych i wycieków danych.

(6)

Ponieważ instytucje kredytowe podlegają zarówno ramom klasyfikacji incydentów na podstawie art. 18 rozporządzenia (UE) 2022/2554, jak i ramom ryzyka operacyjnego na podstawie rozporządzenia delegowanego Komisji (UE) 2018/959 (3), podejście do oceny skutków gospodarczych incydentu w oparciu o obliczenie kosztów i strat powinno być w jak największym stopniu spójne w obu tych ramach, aby uniknąć wprowadzania niekompatybilnych lub sprzecznych wymogów.

(7)

Kryterium dotyczące zasięgu geograficznego incydentu określone w art. 18 ust. 1 lit. c) rozporządzenia (UE) 2022/2554 powinno koncentrować się na transgranicznych skutkach incydentu, ponieważ wpływ incydentu na działania podmiotu finansowego w ramach jednej jurysdykcji zostanie uwzględniony w ramach pozostałych kryteriów określonych w tym artykule.

(8)

Biorąc pod uwagę, że kryteria klasyfikacji są współzależne i wzajemnie ze sobą powiązane, podejście do identyfikacji poważnych incydentów, które należy zgłaszać zgodnie z art. 19 ust. 1 rozporządzenia (UE) 2022/2554, powinno opierać się na połączeniu kryteriów, przy czym niektóre kryteria ściśle powiązane z definicjami incydentu związanego z ICT i poważnego incydentu związanego z ICT określonymi w art. 3 pkt 8 i 10 rozporządzenia (UE) 2022/2554 powinny mieć większe znaczenie w klasyfikacji poważnych incydentów niż inne kryteria.

(9)

W celu zapewnienia, aby zgłoszenia i powiadomienia dotyczące poważnych incydentów otrzymywane przez właściwe organy na podstawie art. 19 ust. 1 rozporządzenia (UE) 2022/2554 służyły zarówno do celów nadzorczych, jak i do zapobiegania zarażaniu w całym sektorze finansowym, progi istotności powinny umożliwiać uwzględnienie poważnych incydentów, koncentrując się m.in. na wpływie na usługi krytyczne specyficzne dla danego podmiotu, na konkretnych bezwzględnych i względnych progach klientów lub kontrahentów finansowych, transakcjach, które wskazują na istotny wpływ na podmiot finansowy, oraz na znaczeniu skutków incydentu w innych państwach członkowskich.

(10)

Incydenty, które mają wpływ na usługi ICT lub sieci i systemy informatyczne wspierające krytyczne lub istotne funkcje lub na usługi finansowe wymagające upoważnienia, lub złośliwy nieuprawniony dostęp do sieci i systemów informatycznych, które wspierają krytyczne lub istotne funkcje, należy uznać za incydenty mające wpływ na usługi o krytycznym znaczeniu świadczone przez podmioty finansowe. Złośliwy, nieuprawniony dostęp do sieci i systemów informatycznych, które wspierają krytyczne lub istotne funkcje podmiotów finansowych, stwarza poważne ryzyko dla podmiotu finansowego i – ponieważ może mieć wpływ na inne podmioty finansowe – należy go zawsze uznawać za poważny incydent podlegający zgłoszeniu.

(11)

Powtarzające się incydenty powiązane ze sobą podobną widoczną podstawową przyczyną, które pojedynczo nie są poważnymi incydentami, mogą wskazywać na znaczące niedoskonałości i słabości procedur zarządzania incydentami i ryzykiem stosowanych przez podmiot finansowy. W związku z tym powtarzające się incydenty należy uznać za poważne łącznie, jeżeli występują one wielokrotnie w określonym czasie.

(12)

Biorąc pod uwagę, że cyberzagrożenia mogą mieć negatywne skutki dla podmiotu finansowego i sektora finansowego, opis znaczących cyberzagrożeń, które podmioty finansowe mogą zgłaszać, powinien wskazywać prawdopodobieństwo ich urzeczywistnienia i krytyczność potencjalnych skutków. W związku z tym, aby zapewnić jasną i spójną ocenę znaczenia cyberzagrożeń, klasyfikacja cyberzagrożenia jako znaczącego powinna zależeć od prawdopodobieństwa, czy w przypadku urzeczywistnienia się cyberzagrożenia kryteria klasyfikacji poważnych incydentów zostałyby spełnione, a ich próg został osiągnięty, od rodzaju cyberzagrożenia oraz od informacji, do których ma dostęp podmiot finansowy.

(13)

Biorąc pod uwagę obowiązek powiadamiania właściwych organów w innych państwach członkowskich o wystąpieniu incydentów, które mają wpływ na podmioty finansowe i klientów w ich jurysdykcji, ocena skutków w innej jurysdykcji zgodnie z art. 19 ust. 7 rozporządzenia (UE) 2022/2554 powinna opierać się na podstawowej przyczynie incydentu, na potencjalnym zarażeniu za pośrednictwem dostawców będących osobami trzecimi i infrastruktury rynku finansowego, a także na wpływie incydentu na znaczące grupy klientów lub kontrahentów finansowych.

(14)

Procesy zgłaszania i powiadamiania, o których mowa w art. 19 ust. 6 i 7 rozporządzenia (UE) 2022/2554, powinny umożliwiać odpowiednim odbiorcom ocenę skutków incydentów. W związku z tym przekazywane informacje powinny obejmować wszystkie szczegóły zawarte w zgłoszeniach incydentów przedkładanych właściwemu organowi przez podmiot finansowy.

(15)

Jeżeli incydent stanowi naruszenie ochrony danych osobowych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (4) i dyrektywą 2002/58/WE Parlamentu Europejskiego i Rady (5), niniejsze rozporządzenie nie powinno mieć wpływu na określone w tych aktach Unii obowiązki w zakresie rejestrowania naruszeń ochrony danych osobowych i powiadamiania o nich. Właściwe organy powinny współpracować ze sobą oraz wymieniać się informacjami dotyczącymi wszystkich istotnych kwestii z organami, o których mowa w rozporządzeniu (UE) 2016/679 i dyrektywie 2002/58/WE.

(16)

Podstawę niniejszego rozporządzenia stanowią projekty regulacyjnych standardów technicznych przedłożone Komisji przez Europejskie Urzędy Nadzoru, po konsultacji z Agencją Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) oraz Europejskim Bankiem Centralnym (EBC).

(17)

Wspólny Komitet Europejskich Urzędów Nadzoru, o którym mowa w art. 54 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (6), w art. 54 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1094/2010 (7) i w art. 54 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1095/2010 (8), przeprowadził otwarte konsultacje publiczne na temat projektu regulacyjnych standardów technicznych, który stanowi podstawę niniejszego rozporządzenia, dokonał analizy potencjalnych powiązanych kosztów i korzyści oraz zwrócił się o opinię do Bankowej Grupy Interesariuszy powołanej zgodnie z art. 37 rozporządzenia (UE) nr 1093/2010, do Grupy Interesariuszy z Sektora Ubezpieczeń i Reasekuracji i Grupy Interesariuszy z Sektora Pracowniczych Programów Emerytalnych powołanych zgodnie z art. 37 rozporządzenia (UE) nr 1094/2010 oraz do Grupy Interesariuszy z Sektora Giełd i Papierów Wartościowych powołanej zgodnie z art. 37 rozporządzenia (UE) nr 1095/2010.

(18)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (9) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który swoją opinię wydał 24 stycznia 2024 r.,