KOMISIJOS DELEGUOTASIS REGLAMENTAS (ES) 2024/1772 2024 m. kovo 13 d. kuriuo Europos Parlamento ir Tarybos reglamentas (ES) 2022/2554 papildomas techniniais reguliavimo standartais, kuriais patikslinami su IRT susijusių incidentų ir kibernetinių grėsmių klasifikavimo kriterijai, nustatomos reikšmingumo ribos ir nurodomi pranešimų apie didelius incidentus duomenys (Tekstas svarbus EEE)

(1)

Reglamentu (ES) 2022/2554 siekiama suderinti ir racionalizuoti pranešimų apie su IRT susijusius incidentus ir su mokėjimais susijusius operacinius arba saugumo incidentus, susijusius su kredito įstaigomis, mokėjimo įstaigomis, informavimo apie sąskaitas paslaugų teikėjais ir elektroninių pinigų įstaigomis (toliau – incidentai), teikimo reikalavimus. Kadangi pranešimų teikimo reikalavimai taikomi 20 skirtingų rūšių finansų sektoriaus subjektams, klasifikavimo kriterijai ir reikšmingumo ribos, pagal kuriuos nustatomi dideli incidentai ir didelės kibernetinės grėsmės, turėtų būti nustatyti paprastai, suderintai ir nuosekliai, atsižvelgiant į visų atitinkamų finansų sektoriaus subjektų paslaugų ir veiklos specifiką;

(2)

siekiant užtikrinti proporcingumą, klasifikavimo kriterijai ir reikšmingumo ribos turėtų atspindėti visų finansų sektoriaus subjektų dydį bei bendrą rizikos profilį ir jų paslaugų pobūdį, mastą ir sudėtingumą. Be to, kriterijai ir reikšmingumo ribos turėtų būti nustatyti taip, kad jie būtų nuosekliai taikomi visiems finansų sektoriaus subjektams, nepriklausomai nuo jų dydžio ir rizikos profilio, ir neužkrautų neproporcingos atskaitomybės naštos mažesniems finansų sektoriaus subjektams. Tačiau, siekiant reaguoti į situacijas, kai incidentas, kuris pats neviršija taikomos ribos, paveikia daug klientų, turėtų būti nustatyta absoliuti riba, daugiausia orientuota į didesnius finansų sektoriaus subjektus;

(3)

kalbant apie pranešimų apie incidentus teikimo sistemas, veikusias prieš įsigaliojant Reglamentui (ES) 2022/2554, finansų sektoriaus subjektams turėtų būti užtikrintas tęstinumas. Todėl klasifikavimo kriterijai ir reikšmingumo ribos turėtų būti suderinti su EBI gairėmis dėl pranešimų apie didelius incidentus teikimo pagal Europos Parlamento ir Tarybos direktyvą (ES) 2015/2366 (2), gairėmis dėl periodinės informacijos ir pranešimų apie reikšmingus pakeitimus, kuriuos ESMA turi teikti sandorių duomenų saugyklos, ECB/BPM pranešimų apie kibernetinius incidentus sistema bei kitomis atitinkamomis gairėmis ir parengti vadovaujantis tomis gairėmis. Klasifikavimo kriterijai ir ribos taip pat turėtų būti tinkami finansų sektoriaus subjektams, kuriems pranešimų apie incidentus teikimo reikalavimai iki Reglamento (ES) 2022/2554 įsigaliojimo nebuvo taikomi;

(4)

kalbant apie klasifikavimo kriterijų „paveiktų sandorių suma ir skaičius“, sandorių sąvoka yra plati ir apima įvairią veiklą ir paslaugas pagal įvairius sektorinius teisės aktus, taikomus finansų sektoriaus subjektams. Taikant tą klasifikavimo kriterijų turėtų būti įtrauktos mokėjimo operacijos ir finansinių priemonių, kriptoturto, biržos prekių ar bet kokio kito turto, įskaitant garantinę įmoką, užtikrinimo priemonę arba įkaitą, visų formų iškeitimas tiek į pinigus, tiek į bet kokį kitą turtą. Klasifikuojant reikėtų atsižvelgti į visus sandorius, susijusius su turtu, kurio vertė gali būti išreikšta pinigų suma;

(5)

turėtų būti užtikrinta, kad klasifikavimo kriterijai apimtų visų svarbių rūšių didelius incidentus. Nedaug klasifikavimo kriterijų apima kibernetinius išpuolius, susijusius su įsibrovimu į tinklų ar informacines sistemas. Tačiau jie yra svarbūs, nes bet koks įsibrovimas į tinklų ir informacines sistemas gali pakenkti finansų sektoriaus subjektui. Todėl klasifikavimo kriterijai „paveiktos ypatingos svarbos paslaugos“ ir „duomenų praradimas“ turėtų būti patikslinti taip, kad apimtų šių rūšių didelius incidentus, visų pirma neteisėtus įsibrovimus, kurie, net jei jų poveikis nėra iš karto žinomas, gali turėti sunkių padarinių, konkrečiai, gali būti padaryta duomenų saugumo pažeidimų ir gali būti nutekinti duomenys;

(6)

kadangi kredito įstaigoms taikoma tiek incidentų klasifikavimo sistema pagal Reglamento (ES) 2022/2554 18 straipsnį, tiek operacinės rizikos sistema pagal Komisijos deleguotąjį reglamentą (ES) 2018/959 (3), incidento ekonominio poveikio vertinimo metodas, grindžiamas sąnaudų ir nuostolių apskaičiavimu, turėtų būti kuo labiau suderintas abiejose sistemose, kad nebūtų nustatyta nesuderinamų ar prieštaringų reikalavimų;

(7)

Reglamento (ES) 2022/2554 18 straipsnio 1 dalies c punkte nustatytu kriterijumi, susijusiu su geografiniu incidento pasiskirstymu, daugiausia dėmesio turėtų būti skiriama tarpvalstybiniam incidento poveikiui, nes incidento poveikį finansų sektoriaus subjekto veiklai viename jurisdikciją turinčiame subjekte apims kiti tame straipsnyje nustatyti kriterijai;

(8)

atsižvelgiant į tai, kad klasifikavimo kriterijai yra tarpusavyje priklausomi ir susiję vieni su kitais, didelių incidentų, apie kuriuos reikia pranešti pagal Reglamento (ES) 2022/2554 19 straipsnio 1 dalį, nustatymo metodas turėtų būti grindžiamas kriterijų deriniu, kuriame kai kurie kriterijai, glaudžiai susiję su sąvokų „su IRT susijęs incidentas“ ir „didelis su IRT susijęs incidentas“ apibrėžtimis, nustatytomis Reglamento (ES) 2022/2554 3 straipsnio 8 ir 10 punktuose, turėtų būti svarbesni klasifikuojant didelius incidentus nei kiti kriterijai;

(9)

kad pranešimai apie didelius incidentus, kuriuos kompetentingos institucijos gauna pagal Reglamento (ES) 2022/2554 19 straipsnio 1 dalį, ir atitiktų priežiūros tikslus, ir padėtų užkirsti kelią neigiamo poveikio išplitimui visame finansų sektoriuje, reikšmingumo ribos turėtų sudaryti sąlygas apimti didelius incidentus, daugiausia dėmesio skiriant, inter alia, poveikiui konkrečių subjektų ypatingos svarbos paslaugoms, konkrečioms absoliučioms ir santykinėms klientų ar finansų partnerių riboms, sandoriams, rodantiems reikšmingą poveikį finansų sektoriaus subjektui, ir poveikio kitose valstybėse narėse dydį;

(10)

incidentais, darančiais poveikį finansų sektoriaus subjektų ypatingos svarbos paslaugoms, turėtų būti laikomi incidentai, kurie daro poveikį IRT paslaugoms arba tinklų ir informacinėms sistemoms, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, arba finansinėms paslaugoms, kurioms teikti reikia veiklos leidimo, arba piktavališka neteisėta prieiga prie tinklų ir informacinių sistemų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos. Piktavališka neteisėta prieiga prie tinklų ir informacinių sistemų, kuriomis palaikomos ypatingos svarbos arba svarbios finansų sektoriaus subjektų funkcijos, kelia didelę riziką finansų sektoriaus subjektui ir, kadangi ji gali daryti poveikį kitiems finansų sektoriaus subjektams, visada turėtų būti laikoma dideliu incidentu, apie kurį reikia pranešti;

(11)

pasikartojantys incidentai, susiję su panašia akivaizdžia pagrindine priežastimi, kurie atskirai nėra dideli incidentai, gali rodyti didelius finansų sektoriaus subjekto incidentų ir rizikos valdymo procedūrų trūkumus. Todėl pasikartojantys incidentai, kai jie per tam tikrą laikotarpį įvyksta pakartotinai, visi kartu turėtų būti laikomi dideliu incidentu;

(12)

atsižvelgiant į tai, kad kibernetinės grėsmės gali turėti neigiamą poveikį finansų sektoriaus subjektui ir sektoriui, didelės kibernetinės grėsmės, apie kurias finansų sektoriaus subjektai gali pranešti, turėtų rodyti pasitvirtinimo tikimybę ir ypatingą galimo poveikio svarbą. Atitinkamai, siekiant užtikrinti aiškų ir nuoseklų kibernetinių grėsmių dydžio vertinimą, kibernetinės grėsmės klasifikavimas kaip didelės turėtų priklausyti nuo tikimybės, kad didelių incidentų klasifikavimo kriterijai ir jų riba būtų atitikti, jei grėsmė pasitvirtintų, nuo kibernetinės grėsmės rūšies ir nuo finansų sektoriaus subjekto turimos informacijos;

(13)

atsižvelgiant į tai, kad kitų valstybių narių kompetentingoms institucijoms turi būti pranešta apie incidentus, kurie daro poveikį jų jurisdikcijai priklausantiems finansų sektoriaus subjektams ir klientams, poveikio kitame jurisdikciją turinčiame subjekte vertinimas pagal Reglamento (ES) 2022/2554 19 straipsnio 7 dalį turėtų būti grindžiamas pagrindine incidento priežastimi, galimu plintančiu neigiamu poveikiu per paslaugas teikiančias trečiąsias šalis ir finansų rinkos infrastruktūroms, taip pat incidento poveikiu svarbioms klientų ar finansų partnerių grupėms;

(14)

Reglamento (ES) 2022/2554 19 straipsnio 6 ir 7 dalyse nurodyti pranešimų teikimo savo šalies ir kitų valstybių narių kompetentingoms institucijoms procesai turėtų sudaryti sąlygas atitinkamiems gavėjams įvertinti incidentų poveikį. Todėl perduodama informacija turėtų apimti visus finansų sektoriaus subjekto kompetentingai institucijai pateiktuose pranešimuose apie incidentus pateiktus duomenis;

(15)

jei incidentas laikomas asmens duomenų saugumo pažeidimu pagal Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 (4) ir Europos Parlamento ir Tarybos direktyvą 2002/58/EB (5), šis reglamentas neturėtų daryti poveikio tuose Sąjungos teisės aktuose nustatytoms pareigoms registruoti asmens duomenų saugumo pažeidimus ir apie juos pranešti. Kompetentingos institucijos turėtų bendradarbiauti ir keistis informacija visais svarbiais klausimais su institucijomis, nurodytomis Reglamente (ES) 2016/679 ir Direktyvoje 2002/58/EB;

(16)

šis reglamentas grindžiamas techninių reguliavimo standartų projektais, kuriuos Komisijai pateikė Europos priežiūros institucijos, pasikonsultavusios su Europos Sąjungos kibernetinio saugumo agentūra (ENISA) ir Europos Centriniu Banku (ECB);

(17)

Europos priežiūros institucijų jungtinis komitetas, nurodytas Europos Parlamento ir Tarybos reglamento (ES) Nr. 1093/2010 (6) 54 straipsnyje, Europos Parlamento ir Tarybos reglamento (ES) Nr. 1094/2010 (7) 54 straipsnyje ir Europos Parlamento ir Tarybos reglamento (ES) Nr. 1095/2010 (8) 54 straipsnyje, surengė atviras viešas konsultacijas dėl techninių reguliavimo standartų projektų, kuriais pagrįstas šis reglamentas, išnagrinėjo galimas siūlomų standartų sąnaudas ir naudą ir paprašė, kad pagal Reglamento (ES) Nr. 1093/2010 37 straipsnį įsteigta Bankininkystės suinteresuotųjų subjektų grupė, pagal Reglamento (ES) Nr. 1094/2010 37 straipsnį įsteigta Draudimo ir perdraudimo suinteresuotųjų subjektų grupė ir Profesinių pensijų suinteresuotųjų subjektų grupė ir pagal Reglamento (ES) Nr. 1095/2010 37 straipsnį įsteigta Vertybinių popierių ir rinkų suinteresuotųjų subjektų grupė pateiktų rekomendacijų;

(18)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (9) 42 straipsnio 1 dalimi, buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis pateikė nuomonę 2024 m. sausio 24 d.,