ΕΚΤΕΛΕΣΤΙΚΟΣ ΚΑΝΟΝΙΣΜΟΣ (EE) 2025/302 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 23ης Οκτωβρίου 2024 για τον καθορισμό εκτελεστικών τεχνικών προτύπων για την εφαρμογή του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα τυποποιημένα έντυπα, τα υποδείγματα και τις διαδικασίες για την εκ μέρους χρηματοοικονομικών οντοτήτων αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ και την κοινοποίηση σημαντικών κυβερνοαπειλών (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(1)

Για να διασφαλιστεί ότι οι χρηματοοικονομικές οντότητες αναφέρουν μείζονα συμβάντα στις αρμόδιες αρχές τους με συνέπεια και για να διασφαλιστεί ότι παρέχουν στις εν λόγω αρχές δεδομένα καλής ποιότητας, θα πρέπει να προσδιοριστούν τα πεδία δεδομένων που πρέπει να παρέχουν οι χρηματοοικονομικές οντότητες στα διάφορα στάδια της υποβολής αναφορών που προβλέπονται στο άρθρο 19 παράγραφος 4 του κανονισμού (ΕΕ) 2022/2554. Είναι σημαντικό οι πληροφορίες αυτές να παρουσιάζονται με τρόπο που να επιτρέπει την ενιαία επισκόπηση του συμβάντος. Επομένως, είναι αναγκαίο να θεσπιστεί ενιαίο υπόδειγμα υποβολής αναφορών για τους σκοπούς αυτούς.

(2)

Οι χρηματοοικονομικές οντότητες θα πρέπει να συμπληρώνουν τα πεδία δεδομένων του υποδείγματος αναφοράς που αντιστοιχούν στις απαιτήσεις πληροφόρησης της αντίστοιχης κοινοποίησης ή αναφοράς. Ωστόσο, οι χρηματοοικονομικές οντότητες που ήδη διαθέτουν πληροφορίες τις οποίες πρέπει να παρέχουν σε μεταγενέστερο στάδιο αναφοράς, δηλαδή στην ενδιάμεση ή την τελική αναφορά, θα πρέπει να έχουν τη δυνατότητα να προβλέπουν την υποβολή των δεδομένων.

(3)

Δεδομένου ότι πολλαπλά ή επαναλαμβανόμενα συμβάντα ενδέχεται να συνιστούν μείζον συμβάν, όπως αναφέρεται στο άρθρο 8 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2024/1772 (2), ο σχεδιασμός του υποδείγματος αναφοράς και των πεδίων δεδομένων θα πρέπει να δίνει τη δυνατότητα στις χρηματοοικονομικές οντότητες να αναφέρουν τα εν λόγω επαναλαμβανόμενα συμβάντα.

(4)

Για τη διασφάλιση ακριβών και επικαιροποιημένων πληροφοριών, το υπόδειγμα αναφοράς θα πρέπει να δίνει τη δυνατότητα στις χρηματοοικονομικές οντότητες, κατά την υποβολή της ενδιάμεσης και της τελικής αναφοράς, να επικαιροποιούν τυχόν πληροφορίες που υποβλήθηκαν προηγουμένως και, όποτε είναι αναγκαίο, να αναταξινομούν μείζονα συμβάντα ως μη μείζονα.

(5)

Η νομική ταυτοποίηση των οντοτήτων θα πρέπει να ευθυγραμμίζεται με τους αναγνωριστικούς κωδικούς που καθορίζονται στα εκτελεστικά τεχνικά πρότυπα που εκδίδονται σύμφωνα με το άρθρο 28 παράγραφος 9 του κανονισμού (ΕΕ) 2022/2554.

(6)

Όταν οι χρηματοοικονομικές οντότητες αναθέτουν σε τρίτο τις υποχρεώσεις αναφοράς μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ, οι αρμόδιες αρχές θα πρέπει να γνωρίζουν την ταυτότητα του τρίτου που προβαίνει σε αναφορά εξ ονόματος της χρηματοοικονομικής οντότητας πριν από την υποβολή της πρώτης κοινοποίησης ή αναφοράς, προκειμένου να επαληθεύουν τη νομιμότητα του αναφέροντος τρίτου.

(7)

Για να προσδιορίζονται εύκολα οι επιπτώσεις ενός συμβάντος που επήλθε σε τρίτο πάροχο ή προκλήθηκε από αυτόν και το οποίο επηρεάζει πολλαπλές χρηματοοικονομικές οντότητες εντός ενός μόνο κράτους μέλους, και για να μειωθεί η προσπάθεια των χρηματοοικονομικών οντοτήτων για την υποβολή αναφορών, το υπόδειγμα αναφοράς θα πρέπει να επιτρέπει την υποβολή συγκεντρωτικής αναφοράς που καλύπτει συγκεντρωτικές πληροφορίες σχετικά με τον αντίκτυπο του συμβάντος σε όλες τις επηρεαζόμενες χρηματοοικονομικές οντότητες που έχουν ταξινομήσει το συμβάν ως μείζον.

(8)

Το υπόδειγμα αναφοράς θα πρέπει να σχεδιαστεί με τεχνολογικά ουδέτερο τρόπο ώστε να είναι δυνατή η εφαρμογή του σε διάφορες λύσεις αναφοράς συμβάντων που ήδη υπάρχουν ή που ενδέχεται να εξευρεθούν για την εφαρμογή των απαιτήσεων του κανονισμού (ΕΕ) 2022/2554.

(9)

Ο σχεδιασμός του υποδείγματος αναφοράς και των πεδίων δεδομένων θα πρέπει να διευκολύνει την αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ από τρίτους στους οποίους οι χρηματοοικονομικές οντότητες ανέθεσαν την οικεία υποχρέωση αναφοράς σύμφωνα με το άρθρο 19 παράγραφος 5 του κανονισμού (ΕΕ) 2022/2554.

(10)

Ο παρών κανονισμός βασίζεται στα σχέδια εκτελεστικών τεχνικών προτύπων που υπέβαλαν οι Ευρωπαϊκές Εποπτικές Αρχές στην Επιτροπή.

(11)

Οι Ευρωπαϊκές Εποπτικές Αρχές διεξήγαγαν ανοικτές δημόσιες διαβουλεύσεις σχετικά με τα σχέδια εκτελεστικών τεχνικών προτύπων στα οποία βασίζεται ο παρών κανονισμός, ανέλυσαν τα ενδεχόμενα συναφή κόστη και τις ωφέλειες και ζήτησαν τη γνώμη της ομάδας τραπεζικών συμφεροντούχων που έχει συσταθεί σύμφωνα με το άρθρο 37 των κανονισμών (ΕΕ) αριθ. 1093/2010 (3), (ΕΕ) αριθ. 1094/2010 (4), (ΕΕ) αριθ. 1095/2010 (5) του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου.

(12)

Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6), η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων ο οποίος γνωμοδότησε θετικά στις 22 Ιουλίου 2024. Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που εμπίπτει στο πεδίο εφαρμογής του παρόντος κανονισμού θα πρέπει να διενεργείται σύμφωνα με τις εφαρμοστέες αρχές και διατάξεις για την προστασία των δεδομένων που προβλέπονται στον κανονισμό (ΕΕ) 2018/1725,