A BIZOTTSÁG (EU) 2025/302 VÉGREHAJTÁSI RENDELETE (2024. október 23.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek a jelentős IKT-vonatkozású esemény pénzügyi szervezetek általi bejelentésére és a jelentős kiberfenyegetésről szóló, pénzügyi szervezetek által benyújtandó értesítésre szolgáló szabványos űrlapok, sablonok és eljárások tekintetében történő alkalmazására vonatkozó végrehajtás-technikai standardok megállapításáról (EGT-vonatkozású szöveg)

(1)

Annak biztosítása érdekében, hogy a pénzügyi szervezetek következetesen beszámoljanak a jelentős eseményekről illetékes hatóságaiknak, és jó minőségű adatokat bocsássanak a hatóságok rendelkezésére, meg kell határozni, hogy a pénzügyi szervezeteknek milyen adatmezőket kell megadniuk az (EU) 2022/2554 rendelet 19. cikkének (4) bekezdésében említett jelentéstétel különböző szakaszaiban. Fontos, hogy ezeket az információkat olyan módon jelenítsék meg, amely lehetővé teszi az esemény egységes áttekintését. Ezért e célokra egységes adatszolgáltatási sablont kell megállapítani.

(2)

A pénzügyi szervezeteknek az adatszolgáltatási sablon azon adatmezőit kell kitölteniük, amelyek megfelelnek az adott értesítésre vagy jelentésre vonatkozó információs követelményeknek. Mindazonáltal azon pénzügyi szervezetek számára, amelyek már rendelkeznek olyan információval, amelyet egy későbbi jelentéstételi szakaszban, azaz az időközi jelentésben vagy a zárójelentésben kell megadniuk, lehetővé kell tenni, hogy korábban benyújthassák az adatokat.

(3)

mivel több esemény vagy ismétlődő események az (EU) 2024/1772 felhatalmazáson alapuló bizottsági rendelet (2) 8. cikkében említett jelentős eseménynek minősülhetnek, az adatszolgáltatási sablon és az adatmezők kialakításának lehetővé kell tennie a pénzügyi szervezetek számára, hogy jelentsék az ilyen ismétlődő eseményeket.

(4)

A pontos és naprakész információk biztosítása érdekében az adatszolgáltatási sablonnak lehetővé kell tennie a pénzügyi szervezetek számára, hogy az időközi jelentés és a zárójelentés benyújtásakor aktualizáljanak bármely korábban benyújtott információt, és szükség esetén egyes jelentős események osztályozását nem jelentősre módosítsák.

(5)

A szervezetek jogi azonosítását összhangba kell hozni az (EU) 2022/2554 rendelet 28. cikkének (9) bekezdése alapján elfogadott végrehajtás-technikai standardokban meghatározott azonosítókkal.

(6)

Ha a pénzügyi szervezetek a jelentős IKT-vonatkozású eseményekkel kapcsolatos bejelentési kötelezettségeket kiszervezik harmadik félnek, az illetékes hatóságoknak az első értesítés vagy jelentés benyújtása előtt tisztában kell lenniük a pénzügyi szervezet nevében adatot szolgáltató harmadik fél kilétével az adatszolgáltató harmadik fél legitimitásának ellenőrzése érdekében.

(7)

Egy harmadik fél szolgáltatónál bekövetkezett vagy általa okozott, és egyetlen tagállamon belül több pénzügyi szervezetet érintő esemény hatásának egyszerű azonosítása, valamint a pénzügyi szervezetek adatszolgáltatási terheinek csökkentése érdekében az adatszolgáltatási sablonnak lehetővé kell tennie olyan összesített jelentés benyújtását, amely összesített információkat tartalmaz arra vonatkozóan, hogy az esemény milyen hatással volt az eseményt jelentősnek minősítő pénzügyi szervezetek összességére.

(8)

Az adatszolgáltatási sablont úgy kell megtervezni, hogy az technológiasemleges legyen, lehetővé téve annak különböző, már létező vagy az (EU) 2022/2554 rendelet követelményeinek végrehajtása érdekében kidolgozandó eseménybejelentési megoldásokba való beépítését.

(9)

Az adatszolgáltatási sablon és az adatmezők kialakításának meg kell könnyítenie, hogy azon harmadik felek, amelyeknek a pénzügyi szervezetek az (EU) 2022/2554 rendelet 19. cikkének (5) bekezdésével összhangban kiszervezték bejelentési kötelezettségüket, bejelentsék a jelentős IKT-vonatkozású eseményeket.

(10)

Ez a rendelet az európai felügyeleti hatóságok által a Bizottsághoz benyújtott végrehajtás-technikai standardtervezeteken alapul.

(11)

Az európai felügyeleti hatóságok nyilvános konzultációt folytattak az e rendelet alapját képező végrehajtás-technikai standardtervezetekről, elemezték az esetleges kapcsolódó költségeket és hasznot, továbbá kikérték az 1093/2010/EU európai parlamenti és tanácsi rendelet (3) 37. cikkével, valamint az 1094/2010/EU (4) és 1095/2010/EU (5) európai parlamenti és tanácsi rendelettel összhangban létrehozott Banki Érdekképviseleti Csoport tanácsát.

(12)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (6) 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki 2024. július 22-én kedvező véleményt nyilvánított. A személyes adatok e rendelet hatálya alá tartozó bármely kezelését az (EU) 2018/1725 rendeletben meghatározott, alkalmazandó adatvédelmi elvekkel és rendelkezésekkel összhangban kell végezni,