ΚΑΤ’ ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2024/1772 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 13ης Μαρτίου 2024 για τη συμπλήρωση του κανονισμού (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά τα ρυθμιστικά τεχνικά πρότυπα για τον προσδιορισμό των κριτηρίων ταξινόμησης συμβάντων που σχετίζονται με τις ΤΠΕ και κυβερνοαπειλών, τον καθορισμό κατώτατων ορίων σημαντικότητας και τον προσδιορισμό των λεπτομερειών των αναφορών μειζόνων συμβάντων (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(1)

Ο κανονισμός (ΕΕ) 2022/2554 αποσκοπεί στην εναρμόνιση και τον εξορθολογισμό των απαιτήσεων αναφοράς για συμβάντα που σχετίζονται με τις ΤΠΕ και για λειτουργικά συμβάντα ή συμβάντα ασφάλειας που σχετίζονται με πληρωμές, τα οποία αφορούν πιστωτικά ιδρύματα, ιδρύματα πληρωμών, παρόχους υπηρεσιών πληροφοριών λογαριασμού και ιδρύματα ηλεκτρονικού χρήματος (στο εξής: συμβάντα). Δεδομένου ότι οι απαιτήσεις αναφοράς καλύπτουν 20 διαφορετικά είδη χρηματοοικονομικών οντοτήτων, τα κριτήρια ταξινόμησης και τα κατώτατα όρια σημαντικότητας για τον προσδιορισμό μειζόνων συμβάντων και σημαντικών κυβερνοαπειλών θα πρέπει να προσδιορίζονται με απλό, εναρμονισμένο και συνεπή τρόπο που να λαμβάνει υπόψη τις ιδιαιτερότητες των υπηρεσιών και των δραστηριοτήτων όλων των σχετικών χρηματοοικονομικών οντοτήτων.

(2)

Προκειμένου να διασφαλιστεί η αναλογικότητα, τα κριτήρια ταξινόμησης και τα κατώτατα όρια σημαντικότητας θα πρέπει να αντικατοπτρίζουν το μέγεθος και το συνολικό προφίλ κινδύνου, καθώς και τη φύση, την κλίμακα και την πολυπλοκότητα των υπηρεσιών όλων των χρηματοοικονομικών οντοτήτων. Επιπλέον, τα κριτήρια και τα όρια σημαντικότητας θα πρέπει να σχεδιάζονται κατά τέτοιον τρόπο ώστε να εφαρμόζονται με συνέπεια σε όλες τις χρηματοοικονομικές οντότητες, ανεξάρτητα από το μέγεθος και το προφίλ κινδύνου τους, και να μη συνεπάγονται δυσανάλογη επιβάρυνση όσον αφορά την υποβολή αναφορών για τις μικρότερες χρηματοοικονομικές οντότητες. Ωστόσο, προκειμένου να αντιμετωπιστούν καταστάσεις στις οποίες σημαντικός αριθμός πελατών επηρεάζεται από συμβάν το οποίο δεν υπερβαίνει καθαυτό το εφαρμοστέο όριο, θα πρέπει να καθοριστεί απόλυτο κατώτατο όριο που θα απευθύνεται κυρίως σε μεγαλύτερες χρηματοοικονομικές οντότητες.

(3)

Όσον αφορά τα πλαίσια αναφοράς συμβάντων, τα οποία υπήρχαν πριν από την έναρξη ισχύος του κανονισμού (ΕΕ) 2022/2554, θα πρέπει να διασφαλιστεί η συνέχεια για τις χρηματοοικονομικές οντότητες. Ως εκ τούτου, τα κριτήρια ταξινόμησης και τα κατώτατα όρια σημαντικότητας θα πρέπει να ευθυγραμμίζονται και να εμπνέονται από τις κατευθυντήριες γραμμές της ΕΑΤ για την αναφορά μειζόνων συμβάντων σύμφωνα με την οδηγία (ΕΕ) 2015/2366 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2), τις κατευθυντήριες γραμμές για την περιοδική ενημέρωση και κοινοποίηση σημαντικών αλλαγών που πρέπει να υποβάλλονται στην ESMA από τα αρχεία καταγραφής συναλλαγών, το πλαίσιο της ΕΚΤ/του ΕΕΜ για την αναφορά συμβάντων στον κυβερνοχώρο και άλλες σχετικές κατευθυντήριες γραμμές. Τα κριτήρια ταξινόμησης και τα κατώτατα όρια θα πρέπει επίσης να είναι κατάλληλα για τις χρηματοοικονομικές οντότητες που δεν υπόκειντο σε απαιτήσεις αναφοράς συμβάντων πριν από τον κανονισμό (ΕΕ) 2022/2554.

(4)

Όσον αφορά το κριτήριο ταξινόμησης «ύψος και αριθμός των συναλλαγών που επηρεάζονται», η έννοια των συναλλαγών είναι ευρεία και καλύπτει διαφορετικές δραστηριότητες και υπηρεσίες σε όλες τις τομεακές πράξεις που εφαρμόζονται στις χρηματοοικονομικές οντότητες. Για τους σκοπούς του εν λόγω κριτηρίου ταξινόμησης, θα πρέπει να καλύπτονται οι πράξεις πληρωμής και όλες οι μορφές ανταλλαγής χρηματοπιστωτικών μέσων, κρυπτοστοιχείων, εμπορευμάτων ή οποιουδήποτε άλλου περιουσιακού στοιχείου, επίσης υπό μορφή περιθωρίου, εξασφάλισης ή ενεχύρου, τόσο έναντι μετρητών όσο και έναντι οποιουδήποτε άλλου περιουσιακού στοιχείου. Για τους σκοπούς της ταξινόμησης θα πρέπει να λαμβάνονται υπόψη όλες οι συναλλαγές που αφορούν περιουσιακά στοιχεία των οποίων η αξία μπορεί να εκφραστεί σε χρηματικό ποσό.

(5)

Τα κριτήρια ταξινόμησης θα πρέπει να διασφαλίζουν ότι λαμβάνονται υπόψη όλοι οι σχετικοί τύποι μειζόνων συμβάντων. Οι κυβερνοεπιθέσεις που σχετίζονται με παρείσφρηση σε συστήματα δικτύου ή πληροφοριών ενδέχεται να μην καλύπτονται κατ’ ανάγκη από πολλά κριτήρια ταξινόμησης. Ωστόσο, είναι σημαντικές, δεδομένου ότι οποιαδήποτε παρείσφρηση στα συστήματα δικτύου και πληροφοριών μπορεί να βλάψει τη χρηματοοικονομική οντότητα. Ως εκ τούτου, τα κριτήρια ταξινόμησης «κρίσιμες υπηρεσίες που επηρεάζονται» και «απώλειες δεδομένων» θα πρέπει να προσδιοριστούν κατά τρόπο ώστε να αποτυπώνονται αυτοί οι τύποι μειζόνων συμβάντων, και ειδικότερα οι μη εξουσιοδοτημένες εισβολές οι οποίες, ακόμη και αν οι επιπτώσεις δεν είναι άμεσα γνωστές, ενδέχεται να έχουν σοβαρές συνέπειες, ιδίως παραβιάσεις δεδομένων και διαρροές δεδομένων.

(6)

Δεδομένου ότι τα πιστωτικά ιδρύματα υπόκεινται τόσο στο πλαίσιο ταξινόμησης των συμβάντων βάσει του άρθρου 18 του κανονισμού (ΕΕ) 2022/2554 όσο και στο πλαίσιο λειτουργικού κινδύνου βάσει του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2018/959 της Επιτροπής (3), η προσέγγιση για την αξιολόγηση των οικονομικών επιπτώσεων ενός συμβάντος με βάση τον υπολογισμό των δαπανών και των ζημιών θα πρέπει να συνάδει, στον μεγαλύτερο δυνατό βαθμό, με αμφότερα τα πλαίσια, ώστε να αποφεύγεται η θέσπιση μη συμβατών ή αντικρουόμενων απαιτήσεων.

(7)

Το κριτήριο σε σχέση με τη γεωγραφική εξάπλωση ενός συμβάντος που ορίζεται στο άρθρο 18 παράγραφος 1 στοιχείο γ) του κανονισμού (ΕΕ) 2022/2554 θα πρέπει να επικεντρώνεται στον διασυνοριακό αντίκτυπο του συμβάντος, δεδομένου ότι ο αντίκτυπος ενός συμβάντος στις δραστηριότητες μιας χρηματοοικονομικής οντότητας εντός μιας ενιαίας δικαιοδοσίας θα αποτυπώνεται στα άλλα κριτήρια που ορίζονται στο εν λόγω άρθρο.

(8)

Δεδομένου ότι τα κριτήρια ταξινόμησης είναι αλληλεξαρτώμενα και συνδεδεμένα μεταξύ τους, η προσέγγιση για τον εντοπισμό μειζόνων συμβάντων που πρέπει να αναφέρονται σύμφωνα με το άρθρο 19 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 θα πρέπει να βασίζεται σε συνδυασμό κριτηρίων, όπου κατά την ταξινόμηση των μειζόνων συμβάντων θα πρέπει να δίνεται μεγαλύτερη έμφαση σε ορισμένα κριτήρια που συνδέονται στενά με τους ορισμούς ενός συμβάντος που σχετίζεται με τις ΤΠΕ και ενός μείζονος συμβάντος που σχετίζεται με τις ΤΠΕ, όπως ορίζονται στο άρθρο 3 σημεία 8) και 10) του κανονισμού (ΕΕ) 2022/2554, από ό,τι σε άλλα κριτήρια.

(9)

Προκειμένου να διασφαλιστεί ότι οι αναφορές και οι κοινοποιήσεις μειζόνων συμβάντων που λαμβάνουν οι αρμόδιες αρχές σύμφωνα με το άρθρο 19 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 εξυπηρετούν τόσο εποπτικούς σκοπούς όσο και την πρόληψη της μετάδοσης σε ολόκληρο τον χρηματοοικονομικό τομέα, τα κατώτατα όρια σημαντικότητας θα πρέπει να καθιστούν δυνατή την αποτύπωση μειζόνων συμβάντων, εστιάζοντας, μεταξύ άλλων, στις επιπτώσεις σε συγκεκριμένες κρίσιμες υπηρεσίες της οντότητας, στα συγκεκριμένα απόλυτα και σχετικά κατώτατα όρια των πελατών ή των χρηματοοικονομικών αντισυμβαλλομένων, στις συναλλαγές που υποδηλώνουν σημαντικό αντίκτυπο στη χρηματοοικονομική οντότητα και στη σημασία του αντικτύπου σε άλλα κράτη μέλη.

(10)

Τα συμβάντα που επηρεάζουν υπηρεσίες ΤΠΕ ή συστήματα δικτύου και πληροφοριών τα οποία υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, ή χρηματοοικονομικές υπηρεσίες που απαιτούν εξουσιοδότηση ή κακόβουλη μη εξουσιοδοτημένη πρόσβαση σε συστήματα δικτύου και πληροφοριών που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, θα πρέπει να θεωρούνται συμβάντα που επηρεάζουν τις κρίσιμες υπηρεσίες των χρηματοοικονομικών οντοτήτων. Η κακόβουλη, μη εξουσιοδοτημένη πρόσβαση σε συστήματα δικτύου και πληροφοριών που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες των χρηματοοικονομικών οντοτήτων ενέχει σοβαρούς κινδύνους για τη χρηματοοικονομική οντότητα και, δεδομένου ότι ενδέχεται να επηρεάσει άλλες χρηματοοικονομικές οντότητες, θα πρέπει πάντοτε να θεωρείται μείζον συμβάν που πρέπει να αναφέρεται.

(11)

Επαναλαμβανόμενα συμβάντα που συνδέονται μέσω παρόμοιας προφανούς βαθύτερης αιτίας, τα οποία μεμονωμένα δεν είναι μείζονα συμβάντα, μπορούν να υποδηλώνουν σημαντικές ελλείψεις και αδυναμίες στις διαδικασίες διαχείρισης συμβάντων και κινδύνων της χρηματοοικονομικής οντότητας. Ως εκ τούτου, τα επαναλαμβανόμενα συμβάντα θα πρέπει να θεωρούνται συλλογικά μείζονα συμβάντα όταν εκδηλώνονται επανειλημμένα κατά τη διάρκεια συγκεκριμένου χρονικού διαστήματος.

(12)

Δεδομένου ότι οι κυβερνοαπειλές μπορούν να έχουν αρνητικό αντίκτυπο στη χρηματοοικονομική οντότητα και στον χρηματοοικονομικό τομέα, οι σημαντικές κυβερνοαπειλές που μπορούν να υποβάλουν οι χρηματοοικονομικές οντότητες θα πρέπει να υποδηλώνουν την πιθανότητα υλοποίησης και την κρισιμότητα των δυνητικών επιπτώσεων. Ως εκ τούτου, για να διασφαλιστεί η σαφής και συνεπής αξιολόγηση της σημασίας των κυβερνοαπειλών, η ταξινόμηση μιας κυβερνοαπειλής ως σημαντικής θα πρέπει να εξαρτάται από την πιθανότητα να πληρούνται τα κριτήρια ταξινόμησης για μείζονα συμβάντα και το κατώτατο όριό τους εάν η απειλή είχε υλοποιηθεί, από το είδος της κυβερνοαπειλής και από τις πληροφορίες που έχει στη διάθεσή της η χρηματοοικονομική οντότητα.

(13)

Δεδομένου ότι οι αρμόδιες αρχές σε άλλα κράτη μέλη πρέπει να ενημερώνονται για συμβάντα που επηρεάζουν χρηματοοικονομικές οντότητες και πελάτες εντός της δικαιοδοσίας τους, η εκτίμηση των επιπτώσεων σε άλλη δικαιοδοσία σύμφωνα με το άρθρο 19 παράγραφος 7 του κανονισμού (ΕΕ) 2022/2554 θα πρέπει να βασίζεται στη βαθύτερη αιτία του συμβάντος, στην πιθανή μετάδοση μέσω τρίτων παρόχων και στις υποδομές των χρηματοπιστωτικών αγορών, καθώς και στον αντίκτυπο του συμβάντος σε σημαντικές ομάδες πελατών ή χρηματοοικονομικών αντισυμβαλλομένων.

(14)

Οι διαδικασίες αναφοράς και κοινοποίησης που αναφέρονται στο άρθρο 19 παράγραφοι 6 και 7 του κανονισμού (ΕΕ) 2022/2554 θα πρέπει να παρέχουν τη δυνατότητα στους αντίστοιχους αποδέκτες να εκτιμούν τις επιπτώσεις των συμβάντων. Ως εκ τούτου, οι πληροφορίες που διαβιβάζονται θα πρέπει να καλύπτουν όλες τις λεπτομέρειες που περιέχονται στις αναφορές συμβάντων που υποβάλλει η χρηματοοικονομική οντότητα στην αρμόδια αρχή.

(15)

Όταν ένα συμβάν συνιστά παραβίαση δεδομένων προσωπικού χαρακτήρα σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4) και την οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5), ο παρών κανονισμός δεν θα πρέπει να επηρεάζει τις υποχρεώσεις καταγραφής και κοινοποίησης για παραβιάσεις δεδομένων προσωπικού χαρακτήρα που ορίζονται στην εν λόγω ενωσιακή νομοθεσία. Οι αρμόδιες αρχές θα πρέπει να συνεργάζονται και να ανταλλάσσουν πληροφορίες σχετικά με όλα τα σχετικά θέματα με τις αρχές που αναφέρονται στον κανονισμό (ΕΕ) 2016/679 και στην οδηγία 2002/58/ΕΚ.

(16)

Ο παρών κανονισμός βασίζεται στα σχέδια ρυθμιστικών τεχνικών προτύπων που υπέβαλαν στην Επιτροπή οι Ευρωπαϊκές Εποπτικές Αρχές, σε συνεννόηση με τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA) και την Ευρωπαϊκή Κεντρική Τράπεζα (ΕΚΤ).

(17)

Η μεικτή επιτροπή των Ευρωπαϊκών Εποπτικών Αρχών που αναφέρεται στο άρθρο 54 του κανονισμού (ΕΕ) αριθ. 1093/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6), στο άρθρο 54 του κανονισμού (ΕΕ) αριθ. 1094/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (7) και στο άρθρο 54 του κανονισμού (ΕΕ) αριθ. 1095/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (8) διενήργησε ανοικτές δημόσιες διαβουλεύσεις σχετικά με τα σχέδια ρυθμιστικών τεχνικών προτύπων στα οποία βασίζεται ο παρών κανονισμός, ανέλυσε το δυνητικό κόστος και τα οφέλη των προτεινόμενων προτύπων και ζήτησε συμβουλές από την ομάδα τραπεζικών συμφεροντούχων που συστάθηκε σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1093/2010, την ομάδα συμφεροντούχων ασφαλίσεων και αντασφαλίσεων και την ομάδα συμφεροντούχων ταμείων επαγγελματικών συνταξιοδοτικών παροχών που συστάθηκαν σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1094/2010 και την ομάδα συμφεροντούχων κινητών αξιών και αγορών που συστάθηκε σύμφωνα με το άρθρο 37 του κανονισμού (ΕΕ) αριθ. 1095/2010.

(18)

Ζητήθηκε η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (9), ο οποίος γνωμοδότησε στις 24 Ιανουαρίου 2024,