REGULAMENTO DELEGADO (UE) 2024/1772 DA COMISSÃO de 13 de março de 2024 que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam os critérios de classificação dos incidentes relacionados com as TIC e das ciberameaças, estabelecem limiares de materialidade e especificam os pormenores das notificações dos incidentes de caráter severo (Texto relevante para efeitos do EEE)

(1)

O Regulamento (UE) 2022/2554 visa harmonizar e simplificar os requisitos de notificação de incidentes relacionados com as TIC e de incidentes operacionais ou de segurança relacionados com pagamentos relativos a instituições de crédito, instituições de pagamento, prestadores de serviços de informação sobre contas e instituições de moeda eletrónica («incidentes»). Tendo em conta que os requisitos de comunicação de informações abrangem 20 tipos diferentes de entidades financeiras, os critérios de classificação e os limiares de materialidade para determinar os incidentes de caráter severo e as ciberameaças significativas devem ser especificados de forma simples, harmonizada e coerente, que atenda às especificidades dos serviços e às atividades de todas as entidades financeiras relevantes.

(2)

A fim de assegurar a proporcionalidade, os critérios de classificação e os limiares de materialidade devem refletir a dimensão e o perfil de risco global, bem como a natureza, escala e complexidade dos serviços de todas as entidades financeiras. Além disso, os critérios e os limiares de materialidade devem ser elaborados de modo a serem aplicados de forma coerente a todas as entidades financeiras, independentemente da sua dimensão e perfil de risco, e a não representarem encargos desproporcionados de comunicação de informações para as entidades financeiras de menor dimensão. No entanto, a fim de dar resposta a situações em que um número significativo de clientes é afetado por um incidente que, em si mesmo, não excede o limiar aplicável, deve ser estabelecido um limiar absoluto destinado principalmente às entidades financeiras de maior dimensão.

(3)

Em relação aos quadros de notificação de incidentes existentes antes da entrada em vigor do Regulamento (UE) 2022/2554, deve ser assegurada a continuidade para as entidades financeiras. Por conseguinte, os critérios de classificação e os limiares de materialidade devem estar em consonância e inspirar-se nas orientações da EBA sobre a comunicação de incidentes de caráter severo nos termos da Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho (2), nas orientações relativas à informação e notificação periódicas de alterações significativas a apresentar à ESMA pelos repositórios de transações, no quadro de comunicação de incidentes de cibersegurança do BCE/MUS e noutras orientações pertinentes. Os critérios de classificação e os limiares de materialidade devem também ser adequados ao caso das entidades financeiras que não estavam sujeitas a requisitos de notificação de incidentes antes do Regulamento (UE) 2022/2554.

(4)

No que respeita ao critério de classificação «quantidade e número de transações afetadas», a noção de transações é lata e abrange diferentes atividades e serviços nos atos setoriais aplicáveis às entidades financeiras. Para efeitos desse critério de classificação, devem ser abrangidas as operações de pagamento e todas as formas de troca de instrumentos financeiros, criptoativos, mercadorias ou quaisquer outros ativos, também sob a forma de margem, garantia ou penhor, tanto contra numerário como contra qualquer outro ativo. Devem ser consideradas para efeitos de classificação todas as operações que envolvam ativos cujo valor possa ser expresso num valor monetário.

(5)

Os critérios de classificação devem assegurar que todos os tipos pertinentes de incidentes de caráter severo sejam abrangidos. Os ciberataques relacionados com a intrusão em sistemas de rede ou de informação podem não ser necessariamente contemplados em muitos critérios de classificação. No entanto, são importantes, uma vez que qualquer intrusão em sistemas de rede e de informação pode prejudicar a entidade financeira. Por conseguinte, os critérios de classificação «serviços críticos afetados» e «perdas de dados» devem ser especificados de forma a abranger estes tipos de incidentes de caráter severo, nomeadamente intrusões não autorizadas, cujos impactos, mesmo que não sejam imediatamente conhecidos, podem ter consequências graves, nomeadamente violações e fugas de dados.

(6)

Uma vez que as instituições de crédito estão sujeitas tanto ao quadro para a classificação dos incidentes nos termos do artigo 18.o do Regulamento (UE) 2022/2554 como ao quadro do risco operacional nos termos do Regulamento Delegado (UE) 2018/959 da Comissão (3), a abordagem para avaliar o impacto económico de um incidente com base no cálculo dos custos e perdas deve, tanto quanto possível, ser coerente entre ambos os quadros, a fim de evitar a introdução de requisitos incompatíveis ou contraditórios.

(7)

O critério relativo à distribuição geográfica de um incidente previsto no artigo 18.o, n.o 1, alínea c), do Regulamento (UE) 2022/2554 deve centrar-se no impacto transfronteiriço do incidente, uma vez que o impacto de um incidente nas atividades de uma entidade financeira numa única jurisdição será tido em conta no quadro dos outros critérios estabelecidos nesse artigo.

(8)

Dado que os critérios de classificação são interdependentes e estão ligados entre si, a abordagem para identificar os incidentes de caráter severo que devem ser comunicados em conformidade com o artigo 19.o, n.o 1, do Regulamento (UE) 2022/2554 deve basear-se numa combinação de critérios, em que alguns critérios estreitamente associados às definições de incidente relacionado com as TIC e de incidente de caráter severo relacionado com as TIC estabelecidas no artigo 3.o, n.os 8 e 10, do Regulamento (UE) 2022/2554 devem ter mais importância na classificação dos incidentes de caráter severo do que outros critérios.

(9)

A fim de assegurar que os relatórios e as notificações de incidentes de caráter severo recebidos pelas autoridades competentes nos termos do artigo 19.o, n.o 1, do Regulamento (UE) 2022/2554 servem tanto para efeitos de supervisão como de prevenção do contágio ao resto do setor financeiro, os limiares de materialidade devem permitir a deteção dos incidentes de caráter severo, centrando-se nomeadamente no impacto nos serviços críticos específicos da entidade, nos limiares absolutos e relativos específicos dos clientes ou contrapartes financeiras, nas transações que indicam um impacto significativo na entidade financeira e na importância do impacto noutros Estados-Membros.

(10)

Os incidentes que afetem serviços de TIC ou sistemas de rede e de informação de apoio a funções críticas ou importantes ou serviços financeiros que exijam autorização, ou o acesso mal-intencionado e não autorizado a sistemas de rede e de informação de apoio a funções críticas ou importantes, devem ser considerados incidentes que afetam os serviços críticos das entidades financeiras. O acesso mal-intencionado e não autorizado a sistemas de rede e de informação que apoiam funções críticas ou importantes das entidades financeiras representa um risco grave para a entidade financeira e, uma vez que pode afetar outras entidades financeiras, deve ser sempre considerado um incidente de caráter severo que deve ser notificado.

(11)

Incidentes recorrentes ligados através de uma causa profunda aparente semelhante, que individualmente não sejam incidentes de caráter severo, podem indicar deficiências e vulnerabilidades significativas nos procedimentos de gestão de incidentes e de riscos da entidade financeira. Por conseguinte, os incidentes recorrentes devem ser coletivamente considerados de caráter severo quando ocorrem repetidamente durante um determinado período.

(12)

Tendo em conta que as ciberameaças podem ter um impacto negativo na entidade financeira e no setor financeiro, as ciberameaças significativas que as entidades financeiras podem notificar devem indicar a probabilidade de ocorrência e a criticalidade do potencial impacto. Por conseguinte, a fim de assegurar uma avaliação clara e coerente da importância das ciberameaças, a classificação de uma ciberameaça como significativa deve depender da probabilidade de que os critérios de classificação dos incidentes de caráter severo e o respetivo limiar fossem atingidos se a ameaça se concretizasse, do tipo de ciberameaça e das informações de que a entidade financeira dispõe.

(13)

Tendo em conta que as autoridades competentes de outros Estados-Membros devem ser notificadas dos incidentes que afetem as entidades financeiras e os clientes na sua jurisdição, a avaliação do impacto noutra jurisdição, em conformidade com o artigo 19.o, n.o 7, do Regulamento (UE) 2022/2554, deve basear-se na causa profunda do incidente, no potencial contágio através de terceiros prestadores e nas infraestruturas dos mercados financeiros, bem como no impacto do incidente em grupos significativos de clientes ou contrapartes financeiras.

(14)

Os processos de comunicação e notificação a que se refere o artigo 19.o, n.os 6 e 7, do Regulamento (UE) 2022/2554 devem permitir que os respetivos destinatários avaliem o impacto dos incidentes. Por conseguinte, as informações transmitidas devem abranger todos os pormenores constantes dos relatórios de incidentes apresentados pela entidade financeira à autoridade competente.

(15)

Caso um incidente constitua uma violação de dados pessoais nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (4) e da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (5), o presente regulamento não deve afetar as obrigações de registo e notificação de violações de dados pessoais estabelecidas nessa legislação da União. As autoridades competentes devem cooperar e trocar informações sobre todas as questões pertinentes com as autoridades referidas no Regulamento (UE) 2016/679 e na Diretiva 2002/58/CE.

(16)

O presente regulamento baseia-se nos projetos de normas técnicas de regulamentação apresentados à Comissão pelas Autoridades Europeias de Supervisão, em consulta com a Agência da União Europeia para a Cibersegurança (ENISA) e o Banco Central Europeu (BCE).

(17)

O Comité Conjunto das Autoridades Europeias de Supervisão a que se refere o artigo 54.o do Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (6), o artigo 54.o do Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho (7) e o artigo 54.o do Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (8) realizou consultas públicas abertas sobre os projetos de normas técnicas de regulamentação em que se baseia o presente regulamento, analisou os potenciais custos e benefícios das normas propostas e solicitou o parecer do Grupo das Partes Interessadas do Setor Bancário criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1093/2010, do Grupo de Interessados do Setor dos Seguros e Resseguros e do Grupo de Interessados do Setor das Pensões Complementares de Reforma criados em conformidade com o artigo 37.o do Regulamento (UE) n.o 1094/2010, e do Grupo de Interessados do Setor dos Valores Mobiliários e dos Mercados criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1095/2010.

(18)

A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (9) e emitiu um parecer em 24 de janeiro de 2024,