KOMISJONI DELEGEERITUD MÄÄRUS (EL) 2025/301, 23. oktoober 2024, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554 regulatiivsete tehniliste standarditega, millega määratakse kindlaks tõsiste IKT intsidentide kohta esitatava esialgse teate, vaheraporti ja lõppraporti sisu ja tähtajad ning vabatahtliku olulistest küberohtudest teatamise sisu (EMPs kohaldatav tekst)

(1)

Selleks, et ühtlustada ja lihtsustada määruse (EL) 2022/2554 artikli 19 lõikes 4 osutatud tõsiste IKT intsidentide kohta teadete ja raportite esitamise nõudeid, tuleks tõsistest IKT intsidentidest teavitamise tähtaegade puhul järgida kõigi finantssektori ettevõtjate puhul järjepidevat lähenemisviisi. Seetõttu tuleks ka tähtaegade puhul järgida võimalikult suurel määral lähenemisviisi, mis on järjepidev ja oma mõjult vähemalt võrdväärne nõuetega, mis on sätestatud Euroopa Parlamendi ja nõukogu direktiivis (EL) 2022/2555 (2).

(2)

Selleks, et mitte tekitada finantssektori ettevõtjatele IKT intsidendi lahendamise ajal põhjendamatut aruandluskoormust, peaks esialgse teate sisu piirduma kõige olulisema teabega. Pädevad asutused peavad nõuetekohaste järelevalvemeetmete võtmiseks saama teabe tõsiste IKT intsidentide kohta võimalikult kiiresti pärast seda, kui finantssektori ettevõtja on IKT intsidendi tõsiseks intsidendiks liigitanud. Seetõttu peaks määruse (EL) 2022/2554 artikli 19 lõike 4 punktis a osutatud esialgse teate esitamise tähtaeg olema võimalikult lühike ja algama esimesel võimalusel pärast IKT intsidendi liigitamist tõsiseks intsidendiks, võimaldades siiski paindlikkust, eelkõige selliste teenuse osutamise ärimudelite puhul, mille puhul aeg ei ole eriti kriitilise tähtsusega, kui finantssektori ettevõtjad vajavad IKT intsidendi lahendamiseks pärast sellest teada saamist rohkem aega.

(3)

Pärast esialgse teate saamist peaksid pädevad asutused saama IKT intsidendi kohta üksikasjalikumat teavet vaheraportis ja kogu asjakohase teabe lõppraportis. Neis raportites esitatav teave peaks võimaldama pädevatel asutustel IKT intsidenti põhjalikumalt analüüsida ja kaaluda, milliseid järelevalvemeetmeid nad soovivad võtta.

(4)

Määruse (EL) 2022/2554 artikli 20 esimese lõigu punkti a alapunktis ii osutatud teavitamise tähtaegade puhul tuleks seega leida tasakaal pädevate asutuste kiiresti teabe saamise vajaduse ning finantssektori ettevõtjatele tervikliku ja täpse teabe saamiseks piisava aja andmise vajaduse vahel.

(5)

Määruse (EL) 2022/2554 artikli 20 esimese lõigu punktis a sätestatud kriteeriume arvesse võttes ei tohiks teavitamise tähtajad põhjustada mikroettevõtjatele ja muudele väikestele finantssektori ettevõtjatele ebaproportsionaalselt suurt koormust. Et mitte tekitada finantssektori ettevõtjatele ebaproportsionaalset koormust, tuleks teavitamise tähtaegade puhul võtta arvesse nädalavahetusi ja riigipühasid.

(6)

Kuna olulistest küberohtudest saab teatada vabatahtlikult, ei tohiks kõnealuste teadete sisu põhjustada koormust finantssektori ettevõtjatele ja see peaks olema piiratum kui tõsiste IKT intsidentide kohta nõutav teave.

(7)

Käesolev määrus põhineb Euroopa järelevalveasutuste poolt komisjonile esitatud regulatiivsete tehniliste standardite eelnõul.

(8)

Euroopa järelevalveasutused on korraldanud avalikud konsultatsioonid käesoleva määruse aluseks oleva regulatiivsete tehniliste standardite eelnõu kohta, analüüsinud võimalikku asjaomast kulu ja kasu ning küsinud nõu Euroopa Parlamendi ja nõukogu määruste (EL) nr 1093/2010, (3) (EL) nr 1094/2010 (4) ja (EL) nr 1095/2010 (5) artikli 37 kohaselt loodud sidusrühmade kogult.

(9)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (6) artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma positiivse arvamuse 22. juulil 2024. Mis tahes isikuandmete töötlemine käesoleva määruse raames peaks toimuma kooskõlas määruse (EL) 2018/1725 alusel kohaldatavate andmekaitsealaste põhimõtete ja sätetega,