A BIZOTTSÁG (EU) 2025/301 FELHATALMAZÁSON ALAPULÓ RENDELETE (2024. október 23.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek a jelentős IKT-vonatkozású eseményekről szóló kezdeti értesítés, időközi jelentés és zárójelentés tartalmát és határidejét, valamint a jelentős kiberfenyegetésekről szóló önkéntes értesítés tartalmát meghatározó szabályozástechnikai standardok tekintetében történő kiegészítéséről (EGT-vonatkozású szöveg)

(1)

A jelentős IKT-vonatkozású eseményekkel kapcsolatos, az (EU) 2022/2554 rendelet 19. cikkének (4) bekezdésében említett értesítési és bejelentési követelmények harmonizálása és egyszerűsítése érdekében a jelentős IKT-vonatkozású események bejelentésére alkalmazandó határidőknek következetes megközelítést kell alkalmazniuk a pénzügyi szervezetek valamennyi típusa esetében. Ezen okokból kifolyólag a határidőknek a lehető legnagyobb mértékben összhangban kell lenniük az (EU) 2022/2555 európai parlamenti és tanácsi irányelvben (2) meghatározott követelményekkel, és legalábbis azokkal azonos hatásúnak kell lenniük.

(2)

Annak elkerülése érdekében, hogy a pénzügyi szervezetekre indokolatlan jelentéstételi teher nehezedjen az IKT-vonatkozású esemény kezelése során, a kezdeti értesítés tartalmát a leglényegesebb információkra kell korlátozni. Ahhoz, hogy megfelelő felügyeleti intézkedéseket lehessen hozni, az illetékes hatóságoknak a lehető leggyorsabban tájékoztatást kell kapniuk a jelentős IKT-vonatkozású eseményekről, miután a pénzügyi szervezet egy adott IKT-vonatkozású eseményt jelentősként osztályozott. Következésképpen az (EU) 2022/2554 rendelet 19. cikke (4) bekezdésének a) pontjában említett kezdeti értesítés benyújtása határidejének a lehető legrövidebbnek kell lennie az IKT-vonatkozású esemény jelentősként való osztályozását követően, ugyanakkor rugalmasságot kell biztosítania – különösen az idő szempontjából nem kritikus szolgáltatási üzleti modellek esetében – arra az esetre, ha a pénzügyi szervezeteknek a tudomásszerzést követően több időre van szükségük az IKT-vonatkozású esemény kezelésére.

(3)

A kezdeti értesítés kézhezvételét követően részletesebb tájékoztatással kell szolgálni az illetékes hatóságoknak az IKT-vonatkozású eseményről az időközi jelentésben, és minden releváns információt meg kell adni a zárójelentésben. A jelentésekben szereplő információknak lehetővé kell tenniük az illetékes hatóságok számára, hogy mélyrehatóbban értékeljék az IKT-vonatkozású eseményeket, és mérlegeljék az esetlegesen meghozandó felügyeleti intézkedéseket.

(4)

Az (EU) 2022/2554 rendelet 20. cikke (1) bekezdése a) pontjának ii. alpontjában említett bejelentési határidőknek ezért egyensúlyt kell teremteniük annak szükségessége között, hogy az illetékes hatóságok gyorsan megkapják az információkat, és hogy a pénzügyi szervezeteknek elegendő idő álljon rendelkezésükre a teljeskörű és pontos információk beszerzésére.

(5)

Figyelembe véve az (EU) 2022/2554 rendelet 20. cikke (1) bekezdésének a) pontjában meghatározott kritériumokat, a bejelentési határidők nem róhatnak aránytalan terhet a mikrovállalkozásokra és más, nem jelentős pénzügyi szervezetekre. A pénzügyi szervezetekre nehezedő aránytalan terhek elkerülése érdekében továbbá a bejelentési határidők meghatározása során figyelembe kell venni a hétvégéket és a munkaszüneti napokat.

(6)

Mivel a jelentős kiberfenyegetésekről szóló értesítéseket önkéntes alapon nyújtják be, az ilyen értesítések tartalma nem róhat terhet a pénzügyi szervezetekre, és korlátozottabbnak kell lennie, mint a jelentős IKT-vonatkozású események esetében kért információk.

(7)

Ez a rendelet az európai felügyeleti hatóságok által a Bizottsághoz benyújtott szabályozástechnikai standardtervezeteken alapul.

(8)

Az európai felügyeleti hatóságok nyilvános konzultációt folytattak az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezték az esetleges kapcsolódó költségeket és hasznot, továbbá kikérték az 1093/2010/EU (3), az 1094/2010/EU (4) és az 1095/2010/EU európai parlamenti és tanácsi rendelet (5) 37. cikkével összhangban létrehozott érdekképviseleti csoportok tanácsát.

(9)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (6) 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki 2024. július 22-én kedvező véleményt nyilvánított. A személyes adatok e rendelet hatálya alá tartozó kezelését az (EU) 2018/1725 rendelet alkalmazandó adatvédelmi elveivel és rendelkezéseivel összhangban kell végezni,