ΚΑΤ’ ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2025/301 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 23ης Οκτωβρίου 2024 για τη συμπλήρωση του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα ρυθμιστικά τεχνικά πρότυπα για τον προσδιορισμό του περιεχομένου και των προθεσμιών για την αρχική κοινοποίηση και την ενδιάμεση και την τελική αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, καθώς και τον προσδιορισμό του περιεχομένου της προαιρετικής κοινοποίησης για σημαντικές κυβερνοαπειλές (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(1)

Για να διασφαλιστούν η εναρμόνιση και η απλούστευση των απαιτήσεων κοινοποίησης και αναφοράς για μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ, όπως αναφέρονται στο άρθρο 19 παράγραφος 4 του κανονισμού (ΕΕ) 2022/2554, οι προθεσμίες για την αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ θα πρέπει να ακολουθούν συνεκτική προσέγγιση για όλα τα είδη χρηματοοικονομικών οντοτήτων. Για τους λόγους αυτούς, οι προθεσμίες θα πρέπει επίσης, στον μέγιστο δυνατό βαθμό, να ακολουθούν συνεκτική προσέγγιση με τις απαιτήσεις που ορίζονται στην οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2) και να είναι τουλάχιστον ισοδύναμες ως προς το αποτέλεσμα με αυτές.

(2)

Για να αποφευχθεί η επιβολή αδικαιολόγητης επιβάρυνσης των χρηματοοικονομικών οντοτήτων όσον αφορά την υποβολή αναφορών σε χρονική στιγμή κατά την οποία χειρίζονται το συμβάν που σχετίζεται με τις ΤΠΕ, το περιεχόμενο της αρχικής κοινοποίησης θα πρέπει να περιορίζεται στις σημαντικότερες πληροφορίες. Για να είναι σε θέση να λαμβάνουν κατάλληλα εποπτικά μέτρα, οι αρμόδιες αρχές πρέπει να λαμβάνουν πληροφορίες σχετικά με τα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ το συντομότερο δυνατόν αφότου η χρηματοοικονομική οντότητα ταξινομήσει ένα συμβάν που σχετίζεται με τις ΤΠΕ ως μείζον. Κατά συνέπεια, η προθεσμία για την υποβολή αρχικής κοινοποίησης, όπως αναφέρεται στο άρθρο 19 παράγραφος 4 στοιχείο α) του κανονισμού (ΕΕ) 2022/2554, θα πρέπει να είναι όσο το δυνατόν πιο σύντομη μετά την ταξινόμηση ενός συμβάντος που σχετίζεται με τις ΤΠΕ ως μείζονος, ενώ παράλληλα θα πρέπει να παρέχεται ευελιξία, ιδίως για επιχειρηματικά μοντέλα υπηρεσιών για τα οποία ο χρόνος δεν έχει ιδιαίτερα κρίσιμη σημασία, σε περίπτωση που οι χρηματοοικονομικές οντότητες χρειάζονται περισσότερο χρόνο για να χειριστούν το συμβάν που σχετίζεται με τις ΤΠΕ αφού το πληροφορηθούν.

(3)

Μετά τη λήψη της αρχικής κοινοποίησης, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν λεπτομερέστερες πληροφορίες για το συμβάν που σχετίζεται με τις ΤΠΕ στην ενδιάμεση αναφορά και όλες τις σχετικές πληροφορίες στην τελική αναφορά. Οι πληροφορίες που περιέχονται στις εν λόγω εκθέσεις θα πρέπει να δίνουν τη δυνατότητα στις αρμόδιες αρχές να αξιολογούν περαιτέρω το συμβάν που σχετίζεται με τις ΤΠΕ, καθώς και τα εποπτικά μέτρα που ενδέχεται να επιθυμούν να λάβουν.

(4)

Συνεπώς, οι προθεσμίες υποβολής αναφορών που προβλέπονται στο άρθρο 20 πρώτο εδάφιο στοιχείο α) σημείο ii) του κανονισμού (ΕΕ) 2022/2554 θα πρέπει να εξισορροπούν την ανάγκη των αρμόδιων αρχών να λαμβάνουν γρήγορα τις πληροφορίες με την ανάγκη παροχής επαρκούς χρόνου στις χρηματοοικονομικές οντότητες για να εξασφαλίζουν πλήρεις και ακριβείς πληροφορίες.

(5)

Λαμβανομένων υπόψη των κριτηρίων που ορίζονται στο άρθρο 20 πρώτο εδάφιο στοιχείο α) του κανονισμού (ΕΕ) 2022/2554, τα χρονοδιαγράμματα υποβολής αναφορών δεν θα πρέπει να συνεπάγονται δυσανάλογη επιβάρυνση για τις πολύ μικρές επιχειρήσεις και άλλες χρηματοοικονομικές οντότητες που δεν είναι σημαντικές. Επιπλέον, για να αποφευχθεί η δυσανάλογη επιβάρυνση για τις χρηματοπιστωτικές οντότητες, οι προθεσμίες υποβολής αναφορών θα πρέπει να λαμβάνουν υπόψη τα Σαββατοκύριακα και τις αργίες.

(6)

Δεδομένου ότι οι σημαντικές κυβερνοαπειλές πρόκειται να κοινοποιούνται σε προαιρετική βάση, το περιεχόμενο των εν λόγω κοινοποιήσεων δεν θα πρέπει να επιφέρει την επιβάρυνση των χρηματοοικονομικών οντοτήτων και θα πρέπει να είναι πιο περιορισμένο από τις πληροφορίες που ζητούνται για τα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ.

(7)

Ο παρών κανονισμός βασίζεται στα σχέδια ρυθμιστικών τεχνικών προτύπων που υπέβαλαν οι Ευρωπαϊκές Εποπτικές Αρχές στην Επιτροπή.

(8)

Οι Ευρωπαϊκές Εποπτικές Αρχές διεξήγαγαν ανοικτές δημόσιες διαβουλεύσεις σχετικά με τα σχέδια ρυθμιστικών τεχνικών προτύπων στα οποία βασίζεται ο παρών κανονισμός, ανέλυσαν τα ενδεχόμενα συναφή κόστη και τις ωφέλειες και ζήτησαν τη γνώμη των ομάδων συμφεροντούχων που έχουν συσταθεί σύμφωνα με το άρθρο 37 των κανονισμών (ΕΕ) αριθ. 1093/2010 (3), (ΕΕ) αριθ. 1094/2010 (4) και (ΕΕ) αριθ. 1095/2010 (5) του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου.

(9)

Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6), η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων ο οποίος γνωμοδότησε θετικά στις 22 Ιουλίου 2024. Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που εμπίπτει στο πεδίο εφαρμογής του παρόντος κανονισμού θα πρέπει να διενεργείται σύμφωνα με τις εφαρμοστέες αρχές και διατάξεις για την προστασία των δεδομένων που προβλέπονται στον κανονισμό (ΕΕ) 2018/1725,