KOMMISSIONENS DELEGERADE FÖRORDNING (EU) 2025/301 av den 23 oktober 2024 om komplettering av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller tekniska tillsynsstandarder som specificerar innehåll och tidsfrister för den första anmälan av, delrapporten och slutrapporten om allvarliga IKT-relaterade incidenter samt innehållet i den frivilliga anmälan av betydande cyberhot (Text av betydelse för EES)

(1)

För att harmonisera och förenkla de anmälnings- och rapporteringskrav för allvarliga IKT-relaterade incidenter som avses i artikel 19.4 i förordning (EU) 2022/2554 bör tidsfristerna för rapportering av allvarliga IKT-relaterade incidenter vara konsekventa för alla typer av finansiella entiteter. Tidsfristerna bör av detta skäl även i största möjliga utsträckning överensstämma med, och åtminstone ha samma verkan som, kraven i Europaparlamentets och rådets direktiv (EU) 2022/2555 (2).

(2)

För att inte lägga en orimlig rapporteringsbörda på de finansiella entiteterna i ett läge då de måste hantera den IKT-relaterade incidenten bör den första anmälan bara innehålla den viktigaste informationen. För att kunna vidta lämpliga tillsynsåtgärder måste behöriga myndigheter få information om allvarliga IKT-relaterade incidenter så snart som möjligt efter det att den finansiella entiteten har klassificerat en IKT-relaterad incident som allvarlig. Tidsfristen för den första anmälan som avses i artikel 19.4 a i förordning (EU) 2022/2554 bör följaktligen vara så kort som möjligt efter det att en IKT-relaterad incident har klassificerats som allvarlig, men samtidigt ge utrymme för flexibilitet, i synnerhet för affärsmodeller som inte är särskilt tidskritiska, för det fall att finansiella entiteter behöver mer tid att hantera den IKT-relaterade incidenten sedan de blivit medvetna om den.

(3)

Efter att ha mottagit den första anmälan bör behöriga myndigheter få mer detaljerad information om den IKT-relaterade incidenten i delrapporten och all relevant information i slutrapporten. Informationen i dessa rapporter bör göra det möjligt för behöriga myndigheter att göra ytterligare bedömningar av den IKT-relaterade incidenten och ta ställning till vilka tillsynsåtgärder de kan vilja vidta.

(4)

De tidsfrister för rapportering som avses i artikel 20 första stycket a ii i förordning (EU) 2022/2554 bör därför väga behöriga myndigheters behov av att snabbt få information mot behovet av att ge de finansiella entiteterna tillräckligt med tid att inhämta information som är fullständig och korrekt.

(5)

Med beaktande av kriterierna i artikel 20 första stycket a i förordning (EU) 2022/2554 bör tidsfristerna för rapportering inte utgöra en oproportionerligt stor börda för mikroföretag och andra finansiella entiteter som inte är betydande. För att undvika en oproportionerligt stor börda för finansiella entiteter bör tidsfristerna för rapportering dessutom ta hänsyn till veckoslut och helgdagar.

(6)

Eftersom betydande cyberhot anmäls på frivillig basis bör innehållet i sådana anmälningar inte vara betungande för finansiella entiteter utan mer begränsat än den information som krävs för allvarliga IKT-relaterade incidenter.

(7)

Denna förordning grundar sig på det förslag till tekniska tillsynsstandarder som de europeiska tillsynsmyndigheterna har överlämnat till kommissionen.

(8)

De europeiska tillsynsmyndigheterna har genomfört öppna offentliga samråd om det förslag till tekniska tillsynsstandarder som den här förordningen baseras på, analyserat potentiella kostnader och fördelar, samt begärt ett yttrande från de intressentgrupper som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordningar (EU) nr 1093/2010 (3), (EU) nr 1094/2010 (4) och (EU) nr 1095/2010 (5).

(9)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (6) och avgav ett yttrande den 22 juli 2024. All behandling av personuppgifter inom ramen för denna förordning bör utföras i enlighet med tillämpliga dataskyddsprinciper och bestämmelser i förordning (EU) 2018/1725.