REGOLAMENTO DELEGATO (UE) 2025/301 DELLA COMMISSIONE del 23 ottobre 2024 che integra il regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio per quanto riguarda le norme tecniche di regolamentazione che specificano il contenuto e i termini della notifica iniziale, della relazione intermedia e della relazione finale per gli incidenti gravi connessi alle TIC nonché il contenuto della notifica volontaria per le minacce informatiche significative (Testo rilevante ai fini del SEE)

(1)

Al fine di garantire l’armonizzazione e la semplificazione degli obblighi di notifica e di segnalazione degli incidenti gravi connessi alle TIC di cui all’articolo 19, paragrafo 4, del regolamento (UE) 2022/2554, i termini per la segnalazione degli incidenti gravi connessi alle TIC dovrebbero seguire un approccio coerente per tutti i tipi di entità finanziarie. Per tali motivi, nella misura del possibile, i termini dovrebbero seguire un approccio coerente anche con le disposizioni di cui alla direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio (2) ed avere almeno un effetto equivalente alle stesse.

(2)

Onde evitare di imporre un onere di segnalazione eccessivo alle entità finanziarie nel momento in cui trattano l’incidente connesso alle TIC, il contenuto della notifica iniziale dovrebbe essere limitato alle informazioni più significative. Per poter adottare misure di vigilanza adeguate è necessario che le autorità competenti ricevano le informazioni sugli incidenti gravi connessi alle TIC il più rapidamente possibile dopo che l’entità finanziaria ha classificato un incidente connesso alle TIC come grave. Di conseguenza il termine per la trasmissione della notifica iniziale di cui all’articolo 19, paragrafo 4, lettera a), del regolamento (UE) 2022/2554 dovrebbe essere il più breve possibile dopo che un incidente connesso alle TIC è stato classificato come grave, pur consentendo flessibilità, soprattutto per i modelli operativi dei servizi che non sono particolarmente critici in termini di tempo, nel caso in cui le entità finanziarie abbiano bisogno di più tempo per trattare l’incidente connesso alle TIC dopo esserne venute a conoscenza.

(3)

Dopo aver ricevuto la notifica iniziale, le autorità competenti dovrebbero ricevere informazioni più dettagliate sull’incidente connesso alle TIC nella relazione intermedia e tutte le informazioni pertinenti nella relazione finale. Le informazioni contenute in tali relazioni dovrebbero consentire alle autorità competenti di esaminare ulteriormente l’incidente connesso alle TIC e di valutare le misure di vigilanza che potrebbero considerare di adottare.

(4)

I termini per la segnalazione di cui all’articolo 20, primo comma, lettera a), punto ii), del regolamento (UE) 2022/2554 dovrebbero pertanto trovare un equilibrio tra la necessità per le autorità competenti di ricevere le informazioni rapidamente e la necessità di concedere alle entità finanziarie il tempo sufficiente per ottenere informazioni complete e accurate.

(5)

Tenendo conto dei criteri di cui all’articolo 20, primo comma, lettera a), del regolamento (UE) 2022/2554, i termini per la segnalazione non dovrebbero comportare un onere sproporzionato per le microimprese e le altre entità finanziarie che non sono significative. Inoltre, per evitare un onere sproporzionato per le entità finanziarie, i termini per la segnalazione dovrebbero tenere conto dei fine settimana e dei giorni festivi.

(6)

Poiché le minacce informatiche significative devono essere notificate su base volontaria, il contenuto di tali notifiche non dovrebbe costituire un onere per le entità finanziarie e dovrebbe essere più limitato rispetto alle informazioni richieste per gli incidenti gravi connessi alle TIC.

(7)

Il presente regolamento si basa sui progetti di norme tecniche di regolamentazione che le autorità europee di vigilanza hanno presentato alla Commissione.

(8)

Le autorità europee di vigilanza hanno condotto consultazioni pubbliche aperte sui progetti di norme tecniche di regolamentazione sui quali è basato il presente regolamento, hanno analizzato i potenziali costi e benefici collegati e hanno chiesto la consulenza dei gruppi delle parti interessate istituiti in conformità dell’articolo 37 rispettivamente dei regolamenti (UE) n. 1093/2010 (3), (UE) n. 1094/2010 (4) e (UE) n. 1095/2010 (5), del Parlamento europeo e del Consiglio.

(9)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (6), il Garante europeo della protezione dei dati è stato consultato e ha formulato un parere positivo il 22 luglio 2024. Qualsiasi trattamento di dati personali che rientra nell’ambito di applicazione del presente regolamento dovrebbe essere effettuato conformemente ai principi applicabili in materia di protezione dei dati e alle disposizioni del regolamento (UE) 2018/1725,