REGLAMENTO DELEGADO (UE) 2025/301 DE LA COMISIÓN de 23 de octubre de 2024 por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo en lo que respecta a las normas técnicas de regulación que especifican el contenido y los plazos para la notificación inicial y los informes intermedio y final sobre incidentes graves relacionados con las TIC, así como el contenido de la notificación voluntaria de ciberamenazas importantes (Texto pertinente a efectos del EEE)

(1)

A fin de garantizar la armonización y la simplificación de los requisitos de notificación de incidentes graves relacionados con las TIC a que se refiere el artículo 19, apartado 4, del Reglamento (UE) 2022/2554, los plazos para notificar dichos incidentes deben seguir un enfoque coherente para todos los tipos de entidades financieras. Por estas razones, los plazos también deben seguir, en la mayor medida posible, un enfoque coherente con los requisitos establecidos en la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo (2) y, como mínimo, ser equivalentes a ellos.

(2)

Para evitar imponer una carga de notificación indebida a las entidades financieras en el momento en que estén gestionando el incidente relacionado con las TIC, el contenido de la notificación inicial debe limitarse a la información más significativa. Para poder adoptar las medidas de supervisión adecuadas, las autoridades competentes deben recibir información sobre los incidentes graves relacionados con las TIC lo antes posible, una vez que la entidad financiera haya clasificado un incidente relacionado con las TIC como grave. Por consiguiente, el plazo para presentar la notificación inicial a que se refiere el artículo 19, apartado 4, letra a), del Reglamento (UE) 2022/2554 debe ser lo más breve posible después de que un incidente relacionado con las TIC haya sido clasificado como grave, permitiendo al mismo tiempo cierta flexibilidad, especialmente en el caso de los modelos de negocio de servicios en los que, en particular, el tiempo no sea un factor primordial, siempre que las entidades financieras necesiten más tiempo para gestionar el incidente relacionado con las TIC tras haber tenido conocimiento de este.

(3)

Tras recibir la notificación inicial, las autoridades competentes deben recibir información más detallada sobre el incidente relacionado con las TIC en el informe intermedio y toda la información pertinente en el informe final. La información contenida en dichos informes debe permitir a las autoridades competentes evaluar en mayor medida el incidente relacionado con las TIC, así como estudiar las medidas de supervisión que deseen adoptar.

(4)

Los plazos de notificación a que se refiere el artículo 20, párrafo primero, letra a), inciso ii), del Reglamento (UE) 2022/2554 deben, por tanto, equilibrar la necesidad de que las autoridades competentes reciban la información rápidamente y la necesidad de proporcionar a las entidades financieras tiempo suficiente para obtener información completa y exacta.

(5)

Teniendo en cuenta los criterios establecidos en el artículo 20, párrafo primero, letra a), del Reglamento (UE) 2022/2554, los plazos de notificación no deben suponer una carga desproporcionada para las microempresas y otras entidades financieras que no sean significativas. Además, para evitar una carga desproporcionada para las entidades financieras, los plazos de notificación deben tener en cuenta los fines de semana y los días festivos.

(6)

Dado que las ciberamenazas importantes deben notificarse de forma voluntaria, el contenido de dichas notificaciones no debe suponer una carga para las entidades financieras y debe ser más limitado que la información solicitada con respecto a incidentes graves relacionados con las TIC.

(7)

El presente Reglamento se basa en los proyectos de normas técnicas de regulación presentados por las Autoridades Europeas de Supervisión a la Comisión.

(8)

La Autoridades Europeas de Supervisión han llevado a cabo consultas públicas abiertas sobre los proyectos de normas técnicas de regulación en que se basa el presente Reglamento, han analizado los costes y beneficios potenciales conexos y han recabado el asesoramiento de los Grupo de Partes Interesadas, establecidos de conformidad con el artículo 37 de los Reglamentos (UE) n.o 1093/2010 (3), (UE) n.o 1094/2010 (4) y (UE) n.o 1095/2010 (5) del Parlamento Europeo y del Consejo.

(9)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (6), emitió su dictamen positivo el 22 de julio de 2024. Todo tratamiento de datos personales en el ámbito de aplicación del presente Reglamento debe llevarse a cabo de conformidad con los principios y disposiciones aplicables en materia de protección de datos del Reglamento (UE) 2018/1725.