Preamble: 1

(1)

El Reglamento (UE) 2022/2554 tiene por objeto armonizar y racionalizar los requisitos de notificación para los incidentes relacionados con las TIC y los incidentes operativos o de seguridad relacionados con los pagos que afecten a entidades de crédito, entidades de pago, proveedores de servicios de información sobre cuentas y entidades de dinero electrónico (en lo sucesivo, «incidentes»). Teniendo en cuenta que las exigencias de notificación son aplicables a veinte tipos diferentes de entidades financieras, los criterios de clasificación y los umbrales de importancia relativa para determinar los incidentes graves y las ciberamenazas importantes deben especificarse de manera sencilla, armonizada y coherente y que tenga en cuenta las especificidades de los servicios y actividades de todas las entidades financieras pertinentes.

(2)

A fin de garantizar la proporcionalidad, los criterios de clasificación y los umbrales de importancia relativa deben corresponderse con el tamaño y el perfil de riesgo general, así como con la naturaleza, escala y complejidad de los servicios de todas las entidades financieras. Además, los criterios y los umbrales de importancia relativa deben diseñarse de manera que se apliquen de manera coherente a todas las entidades financieras, independientemente de su tamaño y perfil de riesgo, y no supongan una carga de notificación desproporcionada para las entidades financieras más pequeñas. No obstante, para hacer frente a situaciones en las que un número significativo de clientes se vea afectado por un incidente que, como tal, no supere el umbral aplicable, debe establecerse un umbral absoluto dirigido principalmente a las entidades financieras de mayor tamaño.

(3)

Debe garantizarse a las entidades financieras una continuidad en relación con los marcos de notificación de incidentes que existían antes de la entrada en vigor del Reglamento (UE) 2022/2554. Por consiguiente, los criterios de clasificación y los umbrales de importancia relativa deben apoyarse e inspirarse en las Directrices de la ABE en materia de notificación de incidentes graves con arreglo a la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo (2), las Directrices sobre la información y notificación periódica de cambios significativos que deben presentar a la AEVM los registros de operaciones, así como en el marco de notificación de ciberincidentes del BCE/MUS y en otras orientaciones pertinentes. Los criterios de clasificación y los umbrales también deben ser adecuados para las entidades financieras no sujetas a requisitos de notificación de incidentes antes de la entrada en vigor del Reglamento (UE) 2022/2554.

(4)

Por lo que se refiere al criterio de clasificación «cantidad y número de transacciones afectadas», el concepto de transacciones es amplio y abarca diferentes actividades y servicios en todos los actos sectoriales aplicables a las entidades financieras. A efectos de dicho criterio de clasificación, deben estar cubiertas las operaciones de pago y todas las formas de intercambio de instrumentos financieros, criptoactivos, materias primas o cualquier otro activo, también en forma de margen, garantía o prenda, tanto contra efectivo como contra cualquier otro activo. Todas las transacciones que impliquen activos cuyo valor pueda expresarse en importes monetarios deben tenerse en cuenta a efectos de clasificación.

(5)

Los criterios de clasificación deben garantizar que se reflejen todos los tipos pertinentes de incidentes graves. Es posible que muchos criterios de clasificación no reflejen necesariamente los ciberataques relacionados con la intrusión en redes o sistemas de información. Sin embargo, estos son importantes porque las intrusiones en las redes y los sistemas de información pueden perjudicar a la entidad financiera. En consecuencia, los criterios de clasificación «servicios esenciales afectados» y «pérdidas de datos» deben especificarse de manera que se reflejen estos tipos de incidentes graves, en particular las intrusiones no autorizadas que, aunque no se conozcan inmediatamente sus repercusiones, pueden dar lugar a graves consecuencias, en particular violaciones de la seguridad de los datos y fugas de datos.

(6)

Dado que las entidades de crédito están sujetas tanto al marco de clasificación de incidentes de conformidad con el artículo 18 del Reglamento (UE) 2022/2554 como al marco del riesgo operativo de conformidad con el Reglamento Delegado (UE) 2018/959 de la Comisión (3), el enfoque adoptado para evaluar las consecuencias económicas de un incidente basado en el cálculo de costes y pérdidas debe ser, en la mayor medida posible, coherente con ambos marcos con el fin de evitar que se introduzcan requisitos incompatibles o contradictorios.

(7)

El criterio relativo a la extensión geográfica de un incidente establecido en el artículo 18, apartado 1, letra c), del Reglamento (UE) 2022/2554 debe centrarse en sus efectos transfronterizos, ya que los efectos de un incidente en las actividades de una entidad financiera dentro de un único país o territorio se reflejará en los demás criterios establecidos en dicho artículo.

(8)

Dado que los criterios de clasificación son interdependientes y están vinculados entre sí, el enfoque para detectar los incidentes graves que deben notificarse de conformidad con el artículo 19, apartado 1, del Reglamento (UE) 2022/2554 debe basarse en una combinación de criterios que otorgaría más importancia en la clasificación de incidentes graves a algunos criterios estrechamente relacionados con las definiciones de «incidente relacionado con las TIC» y de «incidente grave relacionado con las TIC» establecidas en el artículo 3, puntos 8 y 10, del Reglamento (UE) 2022/2554.

(9)

Con el fin de garantizar que las notificaciones y los informes relacionados con incidentes graves recibidos por las autoridades competentes con arreglo al artículo 19, apartado 1, del Reglamento (UE) 2022/2554 sean útiles tanto a efectos de supervisión como para la prevención de contagios en el conjunto del sector financiero, los umbrales de importancia relativa deben permitir reflejar los incidentes graves, centrándose, entre otras cosas, en los efectos en los servicios esenciales específicos de la entidad, los umbrales absolutos y relativos específicos de clientes o contrapartes financieras, las transacciones que indiquen consecuencias importantes para la entidad financiera y la importancia de los efectos en otros Estados miembros.

(10)

Los incidentes que afecten a servicios de TIC o a redes y sistemas de información que sustenten funciones esenciales o importantes, o a servicios financieros que requieran autorización o al acceso malintencionado no autorizado a redes y sistemas de información que sustenten funciones esenciales o importantes, deben considerarse incidentes que afectan a los servicios esenciales de las entidades financieras. El acceso malintencionado no autorizado a las redes y sistemas de información que sustentan funciones esenciales o importantes de las entidades financieras plantea graves riesgos para la entidad financiera y, dado que pueden afectar a otras entidades financieras, siempre debe considerarse un incidente grave que debe notificarse.

(11)

Los incidentes recurrentes vinculados por una causa subyacente aparente similar, que individualmente no constituyen incidentes graves, pueden indicar deficiencias y puntos débiles significativos en los procedimientos de gestión de incidentes y riesgos de la entidad financiera. Por consiguiente, los incidentes recurrentes deben considerarse graves colectivamente cuando se produzcan repetidamente durante un determinado período de tiempo.

(12)

Teniendo en cuenta que las ciberamenazas pueden tener efectos negativos en la entidad financiera y en el sector financiero, las notificaciones de ciberamenazas importantes que presenten las entidades financieras deben indicar la probabilidad de que se materialicen y la gravedad de los posibles efectos. En consecuencia, para garantizar una evaluación clara y coherente de la importancia de las ciberamenazas, la clasificación de una ciberamenaza como importante debe depender del tipo de ciberamenaza, de la información de que disponga la entidad financiera y de la probabilidad de que, si la ciberamenaza se materializase, el incidente cumpliera los criterios para ser clasificado como grave y alcanzara los umbrales correspondientes.

(13)

Teniendo en cuenta que se debe notificar a las autoridades competentes de otros Estados miembros los incidentes que afecten a entidades financieras y clientes de su país o territorio, la evaluación de los efectos en otro territorio de conformidad con el artículo 19, apartado 7, del Reglamento (UE) 2022/2554 debe basarse en la causa subyacente del incidente, en el posible contagio a través de proveedores terceros y en las infraestructuras de los mercados financieros, así como en los efectos del incidente en grupos significativos de clientes o contrapartes financieras.

(14)

Los procesos de notificación y de presentación de información a que se refiere el artículo 19, apartados 6 y 7, del Reglamento (UE) 2022/2554 deben permitir a los destinatarios respectivos evaluar los efectos de los incidentes. Por lo tanto, la información transmitida debe abarcar todos los datos incluidos en los informes de incidentes presentados por la entidad financiera a la autoridad competente.

(15)

Cuando un incidente constituya una violación de la seguridad de los datos personales de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (4) y la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (5), el presente Reglamento no debe afectar a las obligaciones de registro y notificación de las violaciones de la seguridad de los datos personales establecidas en dichas normas de la Unión. Las autoridades competentes deben cooperar e intercambiar información sobre todas las cuestiones pertinentes con las autoridades a que se refieren el Reglamento (UE) 2016/679 y la Directiva 2002/58/CE.

(16)

El presente Reglamento se basa en los proyectos de normas técnicas de regulación presentados a la Comisión por las Autoridades Europeas de Supervisión, en consulta con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y el Banco Central Europeo (BCE).

(17)

El Comité Mixto de las Autoridades Europeas de Supervisión a que se refieren el artículo 54 del Reglamento (UE) n.o 1093/2010 del Parlamento Europeo y del Consejo (6), el artículo 54 del Reglamento (UE) n.o 1094/2010 del Parlamento Europeo y del Consejo (7) y el artículo 54 del Reglamento (UE) n.o 1095/2010 del Parlamento Europeo y del Consejo (8) ha llevado a cabo consultas públicas abiertas sobre el proyecto de normas técnicas de regulación en que se basa el presente Reglamento, ha analizado los posibles costes y beneficios de las normas propuestas y ha solicitado el asesoramiento del Grupo de Partes Interesadas del Sector Bancario creado de conformidad con el artículo 37 del Reglamento (UE) n.o 1093/2010, del Grupo de Partes Interesadas del Sector de Seguros y Reaseguros y del Grupo de Partes Interesadas del Sector de Pensiones de Jubilación creados de conformidad con el artículo 37 del Reglamento (UE) n.o 1094/2010, y del Grupo de partes interesadas del sector de los valores y mercados creado de conformidad con el artículo 37 del Reglamento (UE) n.o 1095/2010.

(18)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (9), emitió su dictamen el 24 de enero de 2024.