PROVEDBENA UREDBA KOMISIJE (EU) 2025/302 оd 23. listopada 2024. o utvrđivanju provedbenih tehničkih standarda za primjenu Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu standardnih predložaka, obrazaca i postupaka koje financijski subjekti koriste za izvješćivanje o značajnom IKT incidentu i obavješćivanje o ozbiljnoj kibernetičkoj prijetnji (Tekst značajan za EGP)

(1)

Kako bi se osiguralo da financijski subjekti dosljedno izvješćuju nadležna tijela o značajnim incidentima i dostavljaju im kvalitetne podatke, trebalo bi utvrditi koja podatkovna polja financijski subjekti trebaju ispuniti u pojedinim fazama izvješćivanja iz članka 19. stavka 4. Uredbe (EU) 2022/2554. Važno je da se tim informacijama prikažu jedinstven pregled incidenta. U tu je svrhu potrebno utvrditi jedinstveni obrazac za izvješćivanje.

(2)

Financijski subjekti trebali bi ispuniti podatkovna polja u obrascu za izvješćivanje koja odgovaraju zahtjevima za informacije iz odgovarajuće obavijesti ili izvješća. Međutim, financijskim subjektima koji već imaju informacije koje trebaju dostaviti u kasnijoj fazi izvješćivanja, tj. u prijelaznom ili završnom izvješću, trebalo bi omogućiti da unaprijed dostave podatke.

(3)

Budući da se višestruki incidenti ili incidenti koji se ponavljaju mogu smatrati značajnim incidentom na temelju članka 8. Delegirane uredbe Komisije (EU) 2024/1772 (2), oblik obrasca za izvješćivanje i podatkovnih polja trebao bi financijskim subjektima omogućiti izvješćivanje o takvim incidentima koji se ponavljaju.

(4)

Kako bi se osigurala točnost i ažurirnost informacija, obrazac za izvješćivanje trebao bi financijskim subjektima omogućiti da pri podnošenju prijelaznog i završnog izvješća ažuriraju sve prethodno dostavljene informacije i prema potrebi promijene klasifikaciju incidenata iz značajnih u manje značajne.

(5)

Pravnu identifikaciju subjekata trebalo bi uskladiti s identifikacijskim oznakama navedenima u provedbenim tehničkim standardima koji su doneseni u skladu s člankom 28. stavkom 9. Uredbe (EU) 2022/2554.

(6)

Ako financijski subjekti eksternaliziraju obveze izvješćivanja o značajnim IKT incidentima trećoj strani, nadležna tijela trebala bi biti upoznata s identitetom treće strane koja izvršava te obveze izvješćivanja u ime financijskog subjekta prije podnošenja prve obavijesti ili izvješća kako bi mogla provjeriti legitimnost treće strane kojoj je povjereno izvješćivanje.

(7)

Kako bi se lako utvrdio učinak incidenta koji se dogodio kod treće strane pružatelja usluga ili koji je ona prouzročila, a koji utječe na više financijskih subjekata unutar jedne države članice, te kako bi se smanjilo opterećenje financijskih subjekata u pogledu izvješćivanja, u obrascu za izvješćivanje trebalo bi omogućiti podnošenje agregiranog izvješća koje obuhvaća agregirane informacije o učinku incidenta na sve zahvaćene financijske subjekte koji su incident klasificirali kao značajan.

(8)

Obrazac za izvješćivanje trebalo bi osmisliti na tehnološki neutralan način kako bi se omogućilo njegovo uvođenje u razna rješenja za izvješćivanje o incidentima koja već postoje ili će se u budućnosti možda razviti za potrebe provedbe zahtjeva iz Uredbe (EU) 2022/2554.

(9)

Oblik obrasca za izvješćivanje i podatkovnih polja trebao bi olakšati izvješćivanje o značajnim IKT incidentima trećim stranama kojima su financijski subjekti eksternalizirali obvezu izvješćivanja u skladu s člankom 19. stavkom 5. Uredbe (EU) 2022/2554.

(10)

Ova se Uredba temelji na nacrtu provedbenih tehničkih standarda koji su Komisiji dostavila europska nadzorna tijela.

(11)

Europska nadzorna tijela provela su otvorena javna savjetovanja o nacrtu provedbenih tehničkih standarda na kojem se temelji ova Uredba, analizirala su moguće povezane troškove i koristi te su zatražila mišljenje Interesne skupine za bankarstvo osnovane u skladu s člankom 37. uredaba (EU) br. 1093/2010 (3), (EU) br. 1094/2010 (4) i (EU) br. 1095/2010 (5) Europskog parlamenta i Vijeća.

(12)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (6) te je on 22. srpnja 2024. dao pozitivno mišljenje. Svaka obrada osobnih podataka obuhvaćena područjem primjene ove Uredbe trebala bi se provoditi u skladu s primjenjivim načelima i odredbama o zaštiti podataka utvrđenima u Uredbi (EU) 2018/1725,