VYKONÁVACIE NARIADENIE KOMISIE (EÚ) 2025/302 z 23. októbra 2024, ktorým sa stanovujú vykonávacie technické predpisy na uplatňovanie nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o štandardné formuláre, vzory a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a na oznamovanie významných kybernetických hrozieb (Text s významom pre EHP)

(1)

S cieľom zabezpečiť, aby finančné subjekty oznamovali závažné incidenty svojim príslušným orgánom konzistentným spôsobom a zabezpečiť, aby týmto orgánom poskytovali údaje dobrej kvality, by sa malo špecifikovať, ktoré dátové polia musia finančné subjekty poskytovať v rôznych fázach nahlasovania uvedeného v článku 19 ods. 4 nariadenia (EÚ) 2022/2554. Je dôležité, aby tieto informácie boli prezentované spôsobom, ktorý umožňuje jednotný prehľad o incidente. Je preto potrebné stanoviť na tieto účely jednotný vzor nahlasovania.

(2)

Finančné subjekty by mali vyplniť tie dátové polia vzoru nahlasovania, ktoré zodpovedajú požiadavkám na informácie v príslušnom oznámení alebo správe. Finančné subjekty, ktoré už majú informácie, ktoré majú poskytnúť v neskoršej fáze nahlasovania, t. j. v priebežnej alebo záverečnej správe, by však mali mať možnosť predvídať predloženie údajov.

(3)

Keďže viacnásobné alebo opakujúce sa incidenty môžu predstavovať závažný incident, ako sa uvádza v článku 8 delegovaného nariadenia Komisie (EÚ) 2024/1772 (2), návrh vzoru nahlasovania a dátových polí by mal finančným subjektom umožniť nahlasovanie takýchto opakujúcich sa incidentov.

(4)

S cieľom zabezpečiť presné a aktuálne informácie by sa malo vo vzore nahlasovania umožniť finančným subjektom pri predkladaní priebežnej a záverečnej správy aktualizovať všetky predtým predložené informácie a v prípade potreby preklasifikovať závažné incidenty na menej závažné.

(5)

Právna identifikácia subjektov by sa mala zosúladiť s identifikátormi uvedenými vo vykonávacích technických predpisoch prijatých podľa článku 28 ods. 9 nariadenia (EÚ) 2022/2554.

(6)

Ak finančné subjekty zveria plnenie nahlasovacích povinností, pokiaľ ide o závažné incidenty súvisiace s IKT, tretej strane formou outsourcingu, príslušné orgány by mali poznať totožnosť nahlasujúcej tretej strany, ktorá podáva správy v mene finančného subjektu, ešte pred predložením prvého oznámenia alebo nahlásenia, aby mohli overiť legitímnosť nahlasujúcej tretej strany.

(7)

V záujme jednoduchej identifikácie vplyvu incidentu, ktorý sa vyskytol u externého poskytovateľa alebo bol spôsobený externým poskytovateľom a ktorý ovplyvňuje viacero finančných subjektov v rámci jedného členského štátu, a v záujme zníženia námahy finančných subjektov pri nahlasovaní by mal vzor nahlasovania umožniť predloženie súhrnnej správy obsahujúcej súhrnné informácie o vplyve incidentu na všetky ovplyvnené finančné subjekty, ktoré incident klasifikovali ako závažný.

(8)

Vzor nahlasovania by mal byť navrhnutý technologicky neutrálne, aby ho bolo možné zaviesť do rôznych riešení na nahlasovanie incidentov, ktoré už existujú alebo ktoré môžu byť vyvinuté na účely vykonávania požiadaviek nariadenia (EÚ) 2022/2554.

(9)

Návrh vzoru nahlasovania a dátových polí by mal uľahčiť nahlasovanie závažných incidentov súvisiacich s IKT tretími stranami, ktorým finančné subjekty zverili svoju nahlasovaciu povinnosť v súlade s článkom 19 ods. 5 nariadenia (EÚ) 2022/2554 formou outsourcingu.

(10)

Toto nariadenie vychádza z návrhu vykonávacích technických predpisov, ktorý Komisii predložili európske orgány dohľadu.

(11)

Európske orgány dohľadu uskutočnili otvorené verejné konzultácie k návrhu vykonávacích technických predpisov, z ktorého toto nariadenie vychádza, analyzovali možné súvisiace náklady a prínosy a požiadali o poradenstvo Skupinu zainteresovaných strán v bankovníctve zriadenú v súlade s článkom 37 nariadení Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (3), (EÚ) č. 1094/2010 (4) a (EÚ) č. 1095/2010 (5).

(12)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (6) sa uskutočnili konzultácie s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal 22. júla 2024 kladné stanovisko. Akékoľvek spracúvanie osobných údajov v rozsahu pôsobnosti tohto nariadenia by sa malo vykonávať v súlade s platnými zásadami ochrany údajov a ustanoveniami uvedenými v nariadení (EÚ) 2018/1725,