DELEGIRANA UREDBA KOMISIJE (EU) 2024/1772 оd 13. ožujka 2024. o dopuni Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu regulatornih tehničkih standarda kojima se utvrđuju kriteriji za klasifikaciju IKT incidenata i kiberprijetnji, pragovi značajnosti i pojedinosti izvješća o značajnim incidentima (Tekst značajan za EGP)

(1)

Cilj je Uredbe (EU) 2022/2554 uskladiti i pojednostavniti zahtjeve za izvješćivanje o IKT incidentima i operativnim ili sigurnosnim incidentima povezanima s plaćanjem koji se odnose na kreditne institucije, institucije za platni promet, pružatelje usluga pružanja informacija o računu i institucije za elektronički novac („incidenti”). S obzirom na to da zahtjevi za izvješćivanje obuhvaćaju 20 različitih vrsta financijskih subjekata, klasifikacijske kriterije i pragove značajnosti za značajne incidente i ozbiljne kiberprijetnje trebalo bi utvrditi na jednostavan, usklađen i dosljedan način kojim se uzimaju u obzir posebnosti usluga i aktivnosti svih relevantnih financijskih subjekata.

(2)

Kako bi se osigurala proporcionalnost, klasifikacijski kriteriji i pragovi značajnosti trebali bi odražavati veličinu i ukupni profil rizičnosti te prirodu, opseg i složenost usluga svih financijskih subjekata. Nadalje, kriteriji i pragovi značajnosti trebali bi biti osmišljeni tako da se dosljedno primjenjuju na sve financijske subjekte, bez obzira na njihovu veličinu i profil rizičnosti, te da se manje financijske subjekte ne opterećuje nerazmjerno u pogledu izvješćivanja. Međutim, kako bi se riješile situacije u kojima incident utječe na znatan broj klijenata, a ne prelazi primjenjivi prag, trebalo bi utvrditi apsolutni prag koji je uglavnom usmjeren na veće financijske subjekte.

(3)

Kad je riječ o okvirima za izvješćivanje o incidentima koji su se dogodili prije stupanja na snagu Uredbe (EU) 2022/2554, trebalo bi osigurati kontinuitet za financijske subjekte. Stoga bi klasifikacijski kriteriji i pragovi značajnosti trebali biti usklađeni sa Smjernicama EBA-e o izvješćivanju o značajnim incidentima u skladu s Direktivom (EU) 2015/2366 Europskog parlamenta i Vijeća (2), Smjernicama o periodičnim informacijama i obavješćivanju o značajnim promjenama koje trgovinski repozitoriji trebaju dostaviti ESMA-i, Okvirom ESB-a/SSM-a za izvješćivanje o kiberincidentima i drugim relevantnim smjernicama. Klasifikacijski kriteriji i pragovi trebali bi biti prikladni i za financijske subjekte koji nisu podlijegali zahtjevima za izvješćivanje o incidentima prije Uredbe (EU) 2022/2554.

(4)

Kad je riječ o kriteriju klasifikacije „količina i broj zahvaćenih transakcija”, pojam transakcija širok je i obuhvaća različite aktivnosti i usluge u svim sektorskim aktima koji se primjenjuju na financijske subjekte. Za potrebe tog klasifikacijskog kriterija trebalo bi obuhvatiti platne transakcije i sve oblike razmjene financijskih instrumenata, kriptoimovine, robe ili bilo koje druge imovine, uključujući u obliku marže, kolaterala ili zaloga, na temelju gotovine i bilo koje druge imovine. Za potrebe klasifikacije trebalo bi uzeti u obzir sve transakcije koje uključuju imovinu čija se vrijednost može izraziti u novčanom iznosu.

(5)

Klasifikacijskim kriterijima trebalo bi obuhvatiti sve relevantne vrste značajnih incidenata. Kibernapadi povezani s prodiranjem u mrežne ili informacijske sustave ne moraju nužno biti obuhvaćeni mnogim klasifikacijskim kriterijima. No važni su jer svako prodiranje u mrežne i informacijske sustave može naštetiti financijskom subjektu. U skladu s tim, klasifikacijske kriterije „zahvaćene ključne usluge” i „gubitak podataka” trebalo bi definirati tako da obuhvaćaju te vrste značajnih incidenata, posebno neovlaštene upade koji, čak i ako učinci nisu odmah poznati, mogu dovesti do ozbiljnih posljedica, posebno povrede podataka i curenja podataka.

(6)

Budući da se na kreditne institucije primjenjuje i okvir za klasifikaciju incidenata iz članka 18. Uredbe (EU) 2022/2554 i okvir za operativni rizik iz Delegirane uredbe Komisije (EU) 2018/959 (3), pristup procjeni ekonomskog učinka incidenta na temelju izračuna troškova i gubitaka trebao bi biti što dosljedniji s oba okvira kako bi se izbjeglo uvođenje neusklađenih ili proturječnih zahtjeva.

(7)

Kriterij koji se odnosi na zemljopisnu raširenost incidenta iz članka 18. stavka 1. točke (c) Uredbe (EU) 2022/2554 trebao bi biti usmjeren na prekogranični učinak incidenta jer će učinak incidenta na aktivnosti financijskog subjekta unutar jedne jurisdikcije biti obuhvaćen drugim kriterijima utvrđenima u tom članku.

(8)

S obzirom na to da su klasifikacijski kriteriji međuovisni i međusobno povezani, pristup za utvrđivanje značajnih incidenata o kojima treba izvješćivati u skladu s člankom 19. stavkom 1. Uredbe (EU) 2022/2554 trebao bi se temeljiti na kombinaciji kriterija, od kojih bi neki kriteriji usko povezani s definicijama IKT incidenta i značajnog IKT incidenta iz članka 3. stavaka 8. i 10. Uredbe (EU) 2022/2554 trebali u klasifikaciji značajnih incidenata biti važniji od drugih kriterija.

(9)

Kako bi izvješća o značajnim incidentima i obavijesti o njima koja prime nadležna tijela na temelju članka 19. stavka 1. Uredbe (EU) 2022/2554 služila i u nadzorne svrhe i za sprečavanje širenja zaraze u cijelom financijskom sektoru, pragovi značajnosti trebali bi omogućiti obuhvaćanje značajnih incidenata fokusiranjem, među ostalim, na učinak na ključne usluge specifične za subjekt, posebne apsolutne i relativne pragove klijenata ili partnerskih financijskih subjekata, transakcije koje upućuju na značajan učinak na financijski subjekt i značajnost učinka u drugim državama članicama.

(10)

Incidente koji utječu na IKT usluge ili mrežne i informacijske sustave kojima se podupiru ključne ili važne funkcije, ili financijske usluge za koje je potrebno odobrenje ili zlonamjerni neovlašten pristup mrežnim i informacijskim sustavima koji podupiru ključne ili važne funkcije trebalo bi smatrati incidentima koji utječu na ključne usluge financijskih subjekata. Zlonamjerni, neovlašteni pristup mrežnim i informacijskim sustavima kojima se podupiru ključne ili važne funkcije financijskih subjekata predstavlja ozbiljan rizik za financijski subjekt i, s obzirom na to da može utjecati na druge financijske subjekte, uvijek bi se trebali smatrati značajnim incidentima koje je potrebno prijaviti.

(11)

Incidenti koji se ponavljaju povezani sličnim očitim temeljnim uzrokom, koji pojedinačno nisu značajni incidenti, mogu ukazivati na znatne nedostatke i slabosti u postupcima upravljanja incidentima i rizicima financijskog subjekta. Stoga bi se incidenti koji se ponavljaju trebali smatrati kolektivno značajnima ako se ponavljaju tijekom određenog razdoblja.

(12)

S obzirom na to da kiberprijetnje mogu negativno utjecati na financijski subjekt i sektor, ozbiljne kiberprijetnje koje financijski subjekti mogu prijaviti trebale bi upućivati na vjerojatnost realizacije i ključnost potencijalnog učinka. U skladu s tim, kako bi se osigurala jasna i dosljedna procjena ozbiljnosti kiberprijetnji, klasifikacija kiberprijetnje kao ozbiljne trebala bi ovisiti o tome bi li klasifikacijski kriteriji za značajne incidente i njihov prag bili ispunjeni da se prijetnja realizirala, o vrsti kiberprijetnji i informacijama koje su dostupne financijskom subjektu.

(13)

S obzirom na to da nadležna tijela u drugim državama članicama treba obavijestiti o incidentima koji utječu na financijske subjekte i klijente u njihovoj jurisdikciji, procjena učinka u drugoj jurisdikciji u skladu s člankom 19. stavkom 7. Uredbe (EU) 2022/2554 trebala bi se temeljiti na temeljnom uzroku incidenta, potencijalnom širenju putem trećih strana koje su pružatelji usluga i na infrastrukturama financijskog tržišta te na učinku incidenta na značajne skupine klijenata ili partnerskih financijskih subjekata.

(14)

Postupci izvješćivanja i obavješćivanja iz članka 19. stavaka 6. i 7. Uredbe (EU) 2022/2554 trebali bi omogućiti odgovarajućim primateljima da procijene učinak incidenata. Stoga bi dostavljene informacije trebale uključivati sve pojedinosti sadržane u izvješćima o incidentima koje financijski subjekt podnosi nadležnom tijelu.

(15)

Ako incident predstavlja povredu osobnih podataka u skladu s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća (4) i Direktivom 2002/58/EZ Europskog parlamenta i Vijeća (5), ova Uredba ne bi trebala utjecati na obveze evidentiranja i obavješćivanja o povredama osobnih podataka utvrđene u tim propisima Unije. Nadležna tijela trebala bi surađivati i razmjenjivati informacije o svim relevantnim pitanjima s tijelima iz Uredbe (EU) 2016/679 i Direktive 2002/58/EZ.

(16)

Ova se Uredba temelji na nacrtu regulatornih tehničkih standarda koji su Komisiji dostavila europska nadzorna tijela uz savjetovanje s Agencijom Europske unije za kibersigurnost (ENISA) i Europskom središnjom bankom (ESB).

(17)

Zajednički odbor europskih nadzornih tijela iz članka 54. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća (6), članka 54. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća (7) i članka 54. Uredbe (EU) br. 1095/2010 Europskog parlamenta i Vijeća (8) proveo je otvoreno javno savjetovanje o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirao je moguće troškove i koristi predloženih standarda te zatražio savjet Interesne skupine za bankarstvo osnovane u skladu s člankom 37. Uredbe (EU) br. 1093/2010 Europskog parlamenta i Vijeća, Interesne skupine za osiguranje i reosiguranje i Interesne skupine za strukovno mirovinsko osiguranje osnovanih u skladu s člankom 37. Uredbe (EU) br. 1094/2010 Europskog parlamenta i Vijeća i Interesne skupine za vrijednosne papire i tržišta kapitala osnovane u skladu s člankom 37. Uredbe (EU) br. 1095/2010,

(18)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (9) te je on dao mišljenje 24. siječnja 2024.,