ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) 2025/302 z dnia 23 października 2024 r. ustanawiające wykonawcze standardy techniczne do celów stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do standardowych formularzy, wzorów i procedur stosowanych przez podmioty finansowe do celów zgłaszania poważnych incydentów związanych z ICT i powiadamiania o znaczących cyberzagrożeniach (Tekst mający znaczenie dla EOG)

(1)

W celu zapewnienia, aby podmioty finansowe w spójny sposób zgłaszały poważne incydenty swoim właściwym organom oraz aby przekazywały tym organom dane dobrej jakości, należy określić, które pola danych podmioty te muszą przekazać na różnych etapach zgłaszania, o których mowa w art. 19 ust. 4 rozporządzenia (UE) 2022/2554. Ważne jest, aby informacje te były przedstawiane w sposób umożliwiający jednolity przegląd incydentu. Do tych celów należy zatem ustanowić jednolity wzór sprawozdawczy.

(2)

Podmioty finansowe powinny wypełnić te pola danych wzoru sprawozdawczego, które odpowiadają wymogom informacyjnym określonym w odpowiednim powiadomieniu lub sprawozdaniu. Podmioty finansowe, które posiadają już informacje, które mają przekazać na późniejszym etapie sprawozdawczości, tj. w sprawozdaniu śródokresowym lub końcowym, powinny jednak mieć możliwość uprzedniego przedłożenia danych.

(3)

Ponieważ liczne lub powtarzające się incydenty mogą stanowić poważny incydent, o którym mowa w art. 8 rozporządzenia delegowanego Komisji (UE) 2024/1772 (2), struktura wzoru sprawozdawczego i pól danych powinna umożliwiać podmiotom finansowym zgłaszanie takich powtarzających się incydentów.

(4)

Aby zapewnić dokładne i aktualne informacje, wzór sprawozdawczy powinien umożliwiać podmiotom finansowym – przy przedkładaniu sprawozdania śródokresowego i końcowego – aktualizację wszelkich informacji, które zostały wcześniej przedłożone, oraz, w razie potrzeby, zmianę klasyfikacji poważnych incydentów na incydenty inne niż poważne.

(5)

Identyfikację prawną podmiotów należy dostosować do identyfikatorów określonych w wykonawczych standardach technicznych przyjętych na podstawie art. 28 ust. 9 rozporządzenia (UE) 2022/2554.

(6)

W przypadku gdy podmioty finansowe zlecają w drodze outsourcingu zadania związane z obowiązkami w zakresie zgłaszania poważnych incydentów związanych z ICT osobie trzeciej, właściwe organy powinny znać tożsamość osoby trzeciej dokonującej zgłoszenia w imieniu podmiotu finansowego przed przedłożeniem pierwszego powiadomienia lub pierwszego sprawozdania, aby móc zweryfikować legalność zgłaszającej osoby trzeciej.

(7)

Aby łatwo zidentyfikować skutki incydentu, który miał miejsce u dostawcy będącego osobą trzecią lub został spowodowany przez dostawcę będącego osobą trzecią i który ma wpływ na wiele podmiotów finansowych w jednym państwie członkowskim, oraz aby ograniczyć nakład pracy ponoszony przez podmioty finansowe w związku ze sprawozdawczością, wzór sprawozdawczy powinien umożliwiać przedłożenie zagregowanego sprawozdania obejmującego zagregowane informacje na temat skutków incydentu dla wszystkich podmiotów finansowych, których ten incydent dotyczył i które zaklasyfikowały ten incydent jako poważny.

(8)

Wzór sprawozdawczy powinien być opracowany w sposób neutralny pod względem technologicznym, aby umożliwić jego wdrożenie w różnych rozwiązaniach w zakresie zgłaszania incydentów, które już istnieją lub które mogą zostać opracowane na potrzeby wdrożenia wymogów rozporządzenia (UE) 2022/2554.

(9)

Struktura wzoru sprawozdawczego i pól danych powinna ułatwiać zgłaszanie poważnych incydentów związanych z ICT przez osoby trzecie, którym podmioty finansowe zleciły na zasadzie outsourcingu zadania związane ze spoczywającym na tych podmiotach obowiązkiem sprawozdawczym zgodnie z art. 19 ust. 5 rozporządzenia (UE) 2022/2554.

(10)

Podstawę niniejszego rozporządzenia stanowi projekt wykonawczych standardów technicznych przedłożony Komisji przez Europejskie Urzędy Nadzoru.

(11)

Europejskie Urzędy Nadzoru przeprowadziły otwarte konsultacje publiczne w zakresie projektu wykonawczych standardów technicznych, który stanowi podstawę niniejszego rozporządzenia, przeanalizowały potencjalne powiązane koszty i korzyści oraz zwróciły się o opinię do Grup Interesariuszy ustanowionych zgodnie z art. 37 rozporządzeń Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (3), (UE) nr 1094/2010 (4) i (UE) nr 1095/2010 (5).

(12)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (6) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który w dniu 22 lipca 2024 r. wydał pozytywną opinię. Wszelkie przetwarzanie danych osobowych w ramach niniejszego rozporządzenia powinno odbywać się zgodnie z mającymi zastosowanie zasadami i przepisami dotyczącymi ochrony danych określonymi w rozporządzeniu (UE) 2018/1725,