REGOLAMENTO DI ESECUZIONE (UE) 2025/302 DELLA COMMISSIONE del 23 ottobre 2024 che stabilisce norme tecniche di attuazione per l’applicazione del regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio per quanto riguarda i formati, i modelli e le procedure standard con cui le entità finanziarie devono segnalare un incidente grave connesso alle TIC e notificare una minaccia informatica significativa (Testo rilevante ai fini del SEE)

(1)

Al fine di garantire che le entità finanziarie segnalino gli incidenti gravi alle rispettive autorità competenti in modo coerente e far sì che trasmettano a tali autorità dati di buona qualità, è opportuno specificare quali campi di dati debbano essere compilati dalle entità finanziarie nelle varie fasi della segnalazione di cui all’articolo 19, paragrafo 4, del regolamento (UE) 2022/2554. È importante che tali informazioni siano presentate in modo da fornire un’unica panoramica dell’incidente. A tal fine è pertanto necessario definire un modello unico per la segnalazione.

(2)

Le entità finanziarie dovrebbero compilare i campi di dati del modello di segnalazione che corrispondono agli obblighi di informazione della rispettiva notifica o relazione. Tuttavia le entità finanziarie che dispongono già di informazioni che devono essere fornite in una fase successiva della segnalazione, ossia nella relazione intermedia o finale, dovrebbero essere autorizzate ad anticipare la trasmissione dei dati.

(3)

Poiché gli incidenti multipli o ricorrenti possono costituire un incidente grave ai sensi dell’articolo 8 del regolamento delegato (UE) 2024/1772 della Commissione (2), l’impostazione del modello di segnalazione e dei campi di dati dovrebbe consentire alle entità finanziarie di segnalare tali incidenti ricorrenti.

(4)

Per garantire la presentazione di informazioni accurate e aggiornate, il modello di segnalazione dovrebbe consentire alle entità finanziarie, all’atto della trasmissione della relazione intermedia e finale, di aggiornare le informazioni presentate in precedenza e, se necessario, di riclassificare gli incidenti gravi come non gravi.

(5)

L’identificazione giuridica delle entità dovrebbe essere allineata agli identificatori specificati nelle norme tecniche di attuazione adottate ai sensi dell’articolo 28, paragrafo 9, del regolamento (UE) 2022/2554.

(6)

Qualora le entità finanziarie esternalizzino a terzi gli obblighi di segnalazione di incidenti gravi connessi alle TIC, le autorità competenti dovrebbero essere a conoscenza dell’identità del terzo che effettua la segnalazione per conto dell’entità finanziaria prima della trasmissione della prima notifica o relazione, al fine di verificare la legittimità del terzo che effettua la segnalazione.

(7)

Per individuare agevolmente l’impatto di un incidente verificatosi presso un fornitore terzo o da esso causato e che interessa più entità finanziarie all’interno di un unico Stato membro, e per ridurre lo sforzo di segnalazione per le entità finanziarie, il modello di segnalazione dovrebbe consentire la trasmissione di una relazione aggregata contenente informazioni aggregate in merito all’impatto dell’incidente su tutte le entità finanziarie interessate che hanno classificato l’incidente come grave.

(8)

Il modello di segnalazione dovrebbe essere impostato in modo tecnologicamente neutro al fine di consentirne l’implementazione in varie soluzioni di segnalazione degli incidenti già esistenti o che possono essere sviluppate ai fini dell’attuazione degli obblighi di cui al regolamento (UE) 2022/2554.

(9)

L’impostazione del modello di segnalazione e dei campi di dati dovrebbe agevolare la segnalazione degli incidenti gravi connessi alle TIC da parte dei terzi ai quali le entità finanziarie hanno esternalizzato l’obbligo di segnalazione a norma dell’articolo 19, paragrafo 5, del regolamento (UE) 2022/2554.

(10)

Il presente regolamento si basa sui progetti di norme tecniche di attuazione che le autorità europee di vigilanza hanno presentato alla Commissione.

(11)

Le autorità europee di vigilanza hanno condotto consultazioni pubbliche aperte sui progetti di norme tecniche di attuazione sui quali è basato il presente regolamento, hanno analizzato i potenziali costi e benefici collegati e hanno chiesto la consulenza del gruppo delle parti interessate nel settore bancario istituito in conformità dell’articolo 37 rispettivamente dei regolamenti (UE) n. 1093/2010 (3), (UE) n. 1094/2010 (4) e (UE) n. 1095/2010 (5), del Parlamento europeo e del Consiglio.

(12)

Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (6), il Garante europeo della protezione dei dati è stato consultato e ha formulato un parere positivo il 22 luglio 2024. Qualsiasi trattamento di dati personali che rientra nell’ambito di applicazione del presente regolamento dovrebbe essere effettuato conformemente ai principi applicabili in materia di protezione dei dati e alle disposizioni di cui al regolamento (UE) 2018/1725,