IZVEDBENA UREDBA KOMISIJE (EU) 2025/302 z dne 23. oktobra 2024 o določitvi izvedbenih tehničnih standardov za uporabo Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi s standardnimi obrazci, predlogami in postopki, v okviru katerih finančni subjekti poročajo o večjem incidentu, povezanem z IKT, in uradno obveščajo o pomembni kibernetski grožnji (Besedilo velja za EGP)

(1)

Za zagotovitev, da finančni subjekti svojim pristojnim organom dosledno poročajo o večjih incidentih in da jim posredujejo kakovostne podatke, bi bilo treba določiti, katera podatkovna polja morajo finančni subjekti zagotoviti v različnih fazah poročanja iz člena 19(4) Uredbe (EU) 2022/2554. Pomembno je, da so te informacije predstavljene na način, ki omogoča enoten pregled incidenta. Zato je treba za te namene določiti enotno predlogo za poročanje.

(2)

Finančni subjekti morajo izpolniti tista podatkovna polja predloge za poročanje, ki ustrezajo zahtevam glede informacij iz zadevnega uradnega obvestila ali poročila. Vendar bi bilo treba finančnim subjektom, ki že imajo informacije, ki jih morajo zagotoviti v poznejši fazi poročanja, tj. v vmesnem ali končnem poročilu, omogočiti, da predčasno predložijo podatke.

(3)

Ker lahko več incidentov ali ponavljajoči se incidenti pomenijo večji incident iz člena 8 Delegirane uredbe Komisije (EU) 2024/1772 (2), bi moralo oblikovanje predloge za poročanje in podatkovnih polj finančnim subjektom omogočiti, da poročajo o takih ponavljajočih se incidentih.

(4)

Za zagotovitev točnih in posodobljenih informacij bi morala predloga za poročanje finančnim subjektom omogočiti, da ob predložitvi vmesnega in končnega poročila posodobijo vse predhodno predložene informacije in po potrebi prerazvrstijo večje incidente med manjše.

(5)

Pravno identifikacijo subjektov bi bilo treba uskladiti z identifikatorji, določenimi v izvedbenih tehničnih standardih, sprejetih v skladu s členom 28(9) Uredbe (EU) 2022/2554.

(6)

Kadar finančni subjekti obveznosti poročanja o večjih incidentih, povezanih z IKT, oddajo v zunanje izvajanje tretji osebi, bi morali biti pristojni organi pred predložitvijo prvega uradnega obvestila ali poročanja seznanjeni z identiteto tretje osebe, ki poroča v imenu finančnega subjekta, da se preveri legitimnost tretje osebe, ki poroča.

(7)

Za lažjo opredelitev vpliva incidenta, ki se je zgodil pri tretjem ponudniku ali ki ga je povzročil tretji ponudnik in vpliva na več finančnih subjektov v eni državi članici, ter za zmanjšanje poročanja za finančne subjekte bi morala predloga za poročanje omogočati predložitev zbirnega poročila, ki zajema zbirne informacije o vplivu incidenta na vse prizadete finančne subjekte, ki so incident razvrstili kot večji.

(8)

Predloga za poročanje bi morala biti zasnovana na tehnološko nevtralen način, da se omogoči njena uporaba v različnih rešitvah za poročanje o incidentih, ki že obstajajo ali bi se lahko razvile za izvajanje zahtev iz Uredbe (EU) 2022/2554.

(9)

Oblika predloge za poročanje in podatkovnih polj bi morala tretjim osebam, ki so jim finančni subjekti v skladu s členom 19(5) Uredbe (EU) 2022/2554 oddali svoje obveznosti poročanja v zunanje izvajanje, olajšati poročanje o večjih incidentih, povezanih z IKT.

(10)

Ta uredba temelji na osnutku izvedbenih tehničnih standardov, ki so ga Komisiji predložili evropski nadzorni organi.

(11)

Evropski nadzorni organi so o osnutku izvedbenih tehničnih standardov, na katerih temelji ta uredba, izvedli odprta javna posvetovanja, analizirali morebitne s tem povezane stroške in koristi ter zaprosili za nasvet interesno skupino za bančništvo, ustanovljeno v skladu s členom 37 uredb (EU) št. 1093/2010 (3), (EU) št. 1094/2010 (4), (EU) št. 1095/2010 (5) Evropskega parlamenta in Sveta.

(12)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (6) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je pozitivno mnenje podal 22. julija 2024. Vsako obdelavo osebnih podatkov v okviru področja uporabe te uredbe bi bilo treba izvesti v skladu z veljavnimi načeli in določbami o varstvu podatkov iz Uredbe (EU) 2018/1725 –