+A BIZOTTSÁG (EU) 2025/301 FELHATALMAZÁSON ALAPULÓ RENDELETE (2024. október 23.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek a jelentős IKT-vonatkozású eseményekről szóló kezdeti értesítés, időközi jelentés és zárójelentés tartalmát és határidejét, valamint a jelentős kiberfenyegetésekről szóló önkéntes értesítés tartalmát meghatározó szabályozástechnikai standardok tekintetében történő kiegészítéséről (EGT-vonatkozású szöveg)
---+Preamble: 1
---+1. cikk A jelentős IKT-vonatkozású eseményekről szóló kezdeti értesítésben, valamint az időközi jelentésben és a zárójelentésben benyújtandó általános információk
------+1. cikk a)
------+1. cikk b)
------+1. cikk c)
------+1. cikk d)
------+1. cikk e)
------+1. cikk f)
------+1. cikk g)
---+2. cikk A kezdeti értesítésekben szolgáltatandó konkrét információk
------+2. cikk a)
------+2. cikk b)
------+2. cikk c)
------+2. cikk d)
------+2. cikk e)
------+2. cikk f)
------+2. cikk g)
------+2. cikk h)
------+2. cikk i)
------+2. cikk j)
---+3. cikk Az időközi jelentésekben szolgáltatandó konkrét információk
------+3. cikk a)
------+3. cikk b)
------+3. cikk c)
------+3. cikk d)
------+3. cikk e)
------+3. cikk f)
------+3. cikk g)
------+3. cikk h)
------+3. cikk i)
------+3. cikk j)
------+3. cikk k)
------+3. cikk l)
---+4. cikk A zárójelentésekben szolgáltatandó konkrét információk
------+4. cikk a)
------+4. cikk b)
------+4. cikk c)
------+4. cikk d)
------+4. cikk e)
------+4. cikk f)
---+5. cikk A kezdeti értesítés, az időközi jelentés és a zárójelentés benyújtási határideje
------+5. cikk 1
------+5. cikk 2
------+5. cikk 3
------+5. cikk 4
------+5. cikk 5
------+5. cikk 6
---+6. cikk A jelentős kiberfenyegetésekről szóló önkéntes értesítés tartalma
------+6. cikk a)
------+6. cikk b)
------+6. cikk c)
------+6. cikk d)
------+6. cikk e)
------+6. cikk f)
------+6. cikk g)
------+6. cikk h)
------+6. cikk i)
------+6. cikk j)
---+7. cikk Hatálybalépés
|
English -
European Union -
Financial Industry -
DORA -
ICT -
Cybersecurity -
Outsourcing -
A BIZOTTSÁG (EU) 2025/301 FELHATALMAZÁSON ALAPULÓ RENDELETE (2024. október 23.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek a jelentős IKT-vonatkozású eseményekről szóló kezdeti értesítés, időközi jelentés és zárójelentés tartalmát és határidejét, valamint a jelentős kiberfenyegetésekről szóló önkéntes értesítés tartalmát meghatározó szabályozástechnikai standardok tekintetében történő kiegészítéséről (EGT-vonatkozású szöveg)
A BIZOTTSÁG (EU) 2025/301 FELHATALMAZÁSON ALAPULÓ RENDELETE
(2024. október 23.)
az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek a jelentős IKT-vonatkozású eseményekről szóló kezdeti értesítés, időközi jelentés és zárójelentés tartalmát és határidejét, valamint a jelentős kiberfenyegetésekről szóló önkéntes értesítés tartalmát meghatározó szabályozástechnikai standardok tekintetében történő kiegészítéséről
(EGT-vonatkozású szöveg)
1. Áttekintés
| Megnevezés |
Szabályozás |
|
Preamble: 1
|
AZ EURÓPAI BIZOTTSÁG,
tekintettel az Európai Unió működéséről szóló szerződésre,
tekintettel a pénzügyi ágazat digitális működési rezilienciájáról és az 1060/2009/EK, a 648/2012/EU, a 600/2014/EU, a 909/2014/EU, valamint az (EU) 2016/1011 rendelet módosításáról szóló, 2022. december 14-i (EU) 2022/2554 európai parlamenti és tanácsi rendeletre (1) és különösen annak 20. cikkének harmadik albekezdésére,
mivel:
|
(1)
|
A jelentős IKT-vonatkozású eseményekkel kapcsolatos, az (EU) 2022/2554 rendelet 19. cikkének (4) bekezdésében említett értesítési és bejelentési követelmények harmonizálása és egyszerűsítése érdekében a jelentős IKT-vonatkozású események bejelentésére alkalmazandó határidőknek következetes megközelítést kell alkalmazniuk a pénzügyi szervezetek valamennyi típusa esetében. Ezen okokból kifolyólag a határidőknek a lehető legnagyobb mértékben összhangban kell lenniük az (EU) 2022/2555 európai parlamenti és tanácsi irányelvben (2) meghatározott követelményekkel, és legalábbis azokkal azonos hatásúnak kell lenniük.
|
|
(2)
|
Annak elkerülése érdekében, hogy a pénzügyi szervezetekre indokolatlan jelentéstételi teher nehezedjen az IKT-vonatkozású esemény kezelése során, a kezdeti értesítés tartalmát a leglényegesebb információkra kell korlátozni. Ahhoz, hogy megfelelő felügyeleti intézkedéseket lehessen hozni, az illetékes hatóságoknak a lehető leggyorsabban tájékoztatást kell kapniuk a jelentős IKT-vonatkozású eseményekről, miután a pénzügyi szervezet egy adott IKT-vonatkozású eseményt jelentősként osztályozott. Következésképpen az (EU) 2022/2554 rendelet 19. cikke (4) bekezdésének a) pontjában említett kezdeti értesítés benyújtása határidejének a lehető legrövidebbnek kell lennie az IKT-vonatkozású esemény jelentősként való osztályozását követően, ugyanakkor rugalmasságot kell biztosítania – különösen az idő szempontjából nem kritikus szolgáltatási üzleti modellek esetében – arra az esetre, ha a pénzügyi szervezeteknek a tudomásszerzést követően több időre van szükségük az IKT-vonatkozású esemény kezelésére.
|
|
(3)
|
A kezdeti értesítés kézhezvételét követően részletesebb tájékoztatással kell szolgálni az illetékes hatóságoknak az IKT-vonatkozású eseményről az időközi jelentésben, és minden releváns információt meg kell adni a zárójelentésben. A jelentésekben szereplő információknak lehetővé kell tenniük az illetékes hatóságok számára, hogy mélyrehatóbban értékeljék az IKT-vonatkozású eseményeket, és mérlegeljék az esetlegesen meghozandó felügyeleti intézkedéseket.
|
|
(4)
|
Az (EU) 2022/2554 rendelet 20. cikke (1) bekezdése a) pontjának ii. alpontjában említett bejelentési határidőknek ezért egyensúlyt kell teremteniük annak szükségessége között, hogy az illetékes hatóságok gyorsan megkapják az információkat, és hogy a pénzügyi szervezeteknek elegendő idő álljon rendelkezésükre a teljeskörű és pontos információk beszerzésére.
|
|
(5)
|
Figyelembe véve az (EU) 2022/2554 rendelet 20. cikke (1) bekezdésének a) pontjában meghatározott kritériumokat, a bejelentési határidők nem róhatnak aránytalan terhet a mikrovállalkozásokra és más, nem jelentős pénzügyi szervezetekre. A pénzügyi szervezetekre nehezedő aránytalan terhek elkerülése érdekében továbbá a bejelentési határidők meghatározása során figyelembe kell venni a hétvégéket és a munkaszüneti napokat.
|
|
(6)
|
Mivel a jelentős kiberfenyegetésekről szóló értesítéseket önkéntes alapon nyújtják be, az ilyen értesítések tartalma nem róhat terhet a pénzügyi szervezetekre, és korlátozottabbnak kell lennie, mint a jelentős IKT-vonatkozású események esetében kért információk.
|
|
(7)
|
Ez a rendelet az európai felügyeleti hatóságok által a Bizottsághoz benyújtott szabályozástechnikai standardtervezeteken alapul.
|
|
(8)
|
Az európai felügyeleti hatóságok nyilvános konzultációt folytattak az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezték az esetleges kapcsolódó költségeket és hasznot, továbbá kikérték az 1093/2010/EU (3), az 1094/2010/EU (4) és az 1095/2010/EU európai parlamenti és tanácsi rendelet (5) 37. cikkével összhangban létrehozott érdekképviseleti csoportok tanácsát.
|
|
(9)
|
Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (6) 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki 2024. július 22-én kedvező véleményt nyilvánított. A személyes adatok e rendelet hatálya alá tartozó kezelését az (EU) 2018/1725 rendelet alkalmazandó adatvédelmi elveivel és rendelkezéseivel összhangban kell végezni,
|
ELFOGADTA EZT A RENDELETET:
Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.
Kelt Brüsszelben, 2024. október 23-án.
a Bizottság részéről
az elnök
Ursula VON DER LEYEN
|
|
1. cikk A jelentős IKT-vonatkozású eseményekről szóló kezdeti értesítésben, valamint az időközi jelentésben és a zárójelentésben benyújtandó általános információk
|
A pénzügyi szervezetek az (EU) 2022/2554 rendelet 19. cikkének (4) bekezdésében említett kezdeti értesítésbe, időközi jelentésbe és zárójelentésbe belefoglalják a következő általános információkat:
|
|
2. cikk A kezdeti értesítésekben szolgáltatandó konkrét információk
|
Az (EU) 2022/2554 rendelet 19. cikke (4) bekezdésének a) pontjában említett kezdeti értesítéseknek tartalmazniuk kell legalább a következő konkrét információk mindegyikét:
|
|
3. cikk Az időközi jelentésekben szolgáltatandó konkrét információk
|
Az (EU) 2022/2554 rendelet 19. cikke (4) bekezdésének b) pontjában említett időközi jelentéseknek tartalmazniuk kell legalább a következő konkrét információk mindegyikét:
|
|
4. cikk A zárójelentésekben szolgáltatandó konkrét információk
|
Az (EU) 2022/2554 rendelet 19. cikke (4) bekezdésének c) pontjában említett zárójelentéseknek tartalmazniuk kell a következő konkrét információk mindegyikét:
|
|
5. cikk A kezdeti értesítés, az időközi jelentés és a zárójelentés benyújtási határideje
|
|
|
6. cikk A jelentős kiberfenyegetésekről szóló önkéntes értesítés tartalma
|
Az (EU) 2022/2554 rendelet 19. cikkének (2) bekezdésében említett jelentős kiberfenyegetésekkel kapcsolatos önkéntes értesítésnek a következők mindegyikét tartalmaznia kell:
|
|
7. cikk Hatálybalépés
|
7. cikk
Ez a rendelet az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
(1)
HL L 333., 2022.12.27., 1. o., ELI: http://data.europa.eu/eli/reg/2022/2554/oj.
(2) Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (2022. december 14.) az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről, valamint a 910/2014/EU rendelet és az (EU) 2018/1972 irányelv módosításáról és az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (NIS 2 irányelv) (HL L 333., 2022.12.27., 80. o. ELI: http://data.europa.eu/eli/dir/2022/2555/oj).
(3) Az Európai Parlament és a Tanács 1093/2010/EU rendelete (2010. november 24.) az európai felügyeleti hatóság (Európai Bankhatóság) létrehozásáról, a 716/2009/EK határozat módosításáról és a 2009/78/EK bizottsági határozat hatályon kívül helyezéséről (HL L 331., 2010.12.15., 12. o., ELI: http://data.europa.eu/eli/reg/2010/1093/oj).
(4) Az Európai Parlament és a Tanács 1094/2010/EU rendelete (2010. november 24.) az európai felügyeleti hatóság (az Európai Biztosítás- és Foglalkoztatóinyugdíj-hatóság) létrehozásáról, valamint a 716/2009/EK határozat módosításáról és a 2009/79/EK bizottsági határozat hatályon kívül helyezéséről (HL L 331., 2010.12.15., 48. o., ELI: http://data.europa.eu/eli/reg/2010/1094/oj).
(5) Az Európai Parlament és a Tanács 2010. november 24-i 1095/2010/EU rendelete az európai felügyeleti hatóság (Európai Értékpapír-piaci Hatóság) létrehozásáról, a 716/2009/EK határozat módosításáról és a 2009/77/EK bizottsági határozat hatályon kívül helyezéséről (HL L 331., 2010.12.15., 84. o., ELI: http://data.europa.eu/eli/reg/2010/1095/oj).
(6) Az Európai Parlament és a Tanács (EU) 2018/1725 rendelete (2018. október 23.) a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről (HL L 295., 2018.11.21., 39–98. o., ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
(7) A Bizottság (EU) 2024/1772 felhatalmazáson alapuló rendelete (2024. március 13.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek az IKT-vonatkozású események és kiberfenyegetések osztályozására vonatkozó kritériumokat, a lényegességi küszöbértékeket és a jelentős eseményekkel kapcsolatos bejelentések részleteit meghatározó szabályozástechnikai standardok tekintetében történő kiegészítéséről (HL L, 2024/1772, 2024.6.25., ELI: http://data.europa.eu/eli/dir/2024/1772/oj).
|
,
1.1 Hivatkozások
1.2 Azonosított követelmények
1.3 Kapcsolódó szabványok
2. Azonosított követelmények
Követelmények
| Forrás |
Követelmény |
3. Kapcsolódó szabványok
Szabványok
| Forrás |
Követelmény |
Kapcsolt feladatok
|