GEDELEGEERDE VERORDENING (EU) 2025/301 VAN DE COMMISSIE van 23 oktober 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met betrekking tot technische reguleringsnormen voor de inhoud en termijnen van de eerste kennisgeving van en het tussentijdse en het eindverslag over ernstige ICT-gerelateerde incidenten en voor de inhoud van de vrijwillige kennisgeving van significante cyberdreigingen (Voor de EER relevante tekst)

(1)

Om de harmonisatie en vereenvoudiging van de kennisgevings- en rapportagevereisten voor ernstige ICT-gerelateerde incidenten als bedoeld in artikel 19, lid 4, van Verordening (EU) 2022/2554 te waarborgen, moeten de rapportagetermijnen van ernstige ICT-gerelateerde incidenten een voor alle soorten financiële entiteiten consistente aanpak volgen. Om deze redenen moeten de termijnen ook zo veel mogelijk in overeenstemming zijn met en ten minste gelijkwaardig zijn aan de vereisten van Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad (2).

(2)

Om een onnodige rapportagedruk op financiële entiteiten bij de behandeling van het ICT-gerelateerde incident te voorkomen, moet de inhoud van de eerste kennisgeving worden beperkt tot de meest significante informatie. Om passende toezichtmaatregelen te kunnen nemen, moeten bevoegde autoriteiten zo snel mogelijk nadat de financiële entiteit een ICT-gerelateerd incident als ernstig heeft aangemerkt, informatie over het ernstige ICT-gerelateerde incident ontvangen. Bijgevolg moet de indieningstermijn van een eerste kennisgeving als bedoeld in artikel 19, lid 4, punt a), van Verordening (EU) 2022/2554 zo kort mogelijk nadat een ICT-gerelateerd incident als ernstig is aangemerkt, vallen maar tegelijkertijd ruimte laten voor flexibiliteit, met name voor bedrijfsmodellen voor dienstverlening die niet bijzonder tijdkritisch zijn, indien financiële entiteiten meer tijd nodig hebben om het ICT-gerelateerde incident te behandelen nadat zij er kennis van hebben gekregen.

(3)

Na ontvangst van de eerste kennisgeving moeten de bevoegde autoriteiten in het tussentijdse verslag nadere informatie over het ICT-gerelateerde incident en in het eindverslag alle relevante informatie ontvangen. De informatie in die verslagen moet de bevoegde autoriteiten in staat stellen het ICT-gerelateerde incident verder te beoordelen en de toezichtmaatregelen te evalueren die zij eventueel willen nemen.

(4)

De in artikel 20, eerste alinea, punt a), ii), van Verordening (EU) 2022/2554 bedoelde rapportagetermijnen moeten daarom een evenwicht vormen tussen de noodzaak voor de bevoegde autoriteiten om de informatie snel te ontvangen, en de noodzaak om financiële entiteiten voldoende tijd te geven om volledige en nauwkeurige informatie te verkrijgen.

(5)

Rekening houdend met de criteria van artikel 20, eerste alinea, punt a), van Verordening (EU) 2022/2554 mogen de rapportagetermijnen geen onevenredige last vormen voor micro-ondernemingen en andere financiële entiteiten die niet significant zijn. Bovendien moet, om te voorkomen dat de rapportagetermijnen een onevenredige last vormen voor financiële entiteiten, rekening worden gehouden met het weekeinde en met feestdagen.

(6)

Omdat van significante cyberdreigingen kennisgeving mag worden gedaan op vrijwillige basis, mag de inhoud van dergelijke kennisgevingen geen last vormen voor financiële entiteiten en moet deze beperkter blijven dan de informatie die voor ernstige ICT-gerelateerde incidenten wordt gevraagd.

(7)

Deze verordening berust op de ontwerpen van technische reguleringsnormen die de Europese toezichthoudende autoriteiten bij de Commissie hebben ingediend.

(8)

De Europese toezichthoudende autoriteiten hebben open publieke raadplegingen gehouden over de ontwerpen van technische reguleringsnormen waarop deze verordening is gebaseerd, hebben de mogelijke daaraan verbonden kosten en baten geanalyseerd en hebben het advies ingewonnen van de bij artikel 37 van Verordeningen (EU) nr. 1093/2010 (3), (EU) nr. 1094/2010 (4) en (EU) nr. 1095/2010 (5) van het Europees Parlement en de Raad opgerichte stakeholdergroepen.

(9)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (6) en heeft op 22 juli 2024 een positief advies uitgebracht. Elke verwerking van persoonsgegevens die binnen het toepassingsgebied van deze verordening valt, moet plaatsvinden in overeenstemming met de toepasselijke beginselen inzake gegevensbescherming en de bepalingen van Verordening (EU) 2018/1725,