KOMISIJOS ĮGYVENDINIMO REGLAMENTAS (ES) 2025/302 2024 m. spalio 23 d. kuriuo nustatomi Europos Parlamento ir Tarybos reglamento (ES) 2022/2554 taikymo techniniai įgyvendinimo standartai, susiję su finansų sektoriaus subjektų pranešimų apie didelius su IRT susijusius incidentus ir dideles kibernetines grėsmes standartinėmis formomis, šablonais ir procedūromis (Tekstas svarbus EEE)

(1)

siekiant užtikrinti, kad finansų sektoriaus subjektai apie didelius incidentus savo kompetentingoms institucijoms praneštų nuosekliai, ir užtikrinti, kad jie toms institucijoms teiktų aukštos kokybės duomenis, turėtų būti nurodyta, kuriuos duomenų laukelius finansų sektoriaus subjektai turi pateikti įvairiais Reglamento (ES) 2022/2554 19 straipsnio 4 dalyje nurodytais pranešimų teikimo etapais. Svarbu, kad ta informacija būtų pateikta taip, kad būtų galima vienoje vietoje matyti incidento vaizdą. Todėl tais tikslais būtina nustatyti vieną bendrą pranešimo šabloną;

(2)

finansų sektoriaus subjektai turėtų užpildyti tuos pranešimo šablono duomenų laukelius, kurie atitinka atitinkamo pranešimo informacijos reikalavimus. Tačiau finansų sektoriaus subjektams, kurie jau turi informaciją, kurią jie turi pateikti vėlesniame pranešimo etape, t. y. tarpiniame arba galutiniame pranešime, turėtų būti leidžiama duomenis pateikti anksčiau;

(3)

kadangi keli arba pasikartojantys incidentai gali būti laikomi dideliu incidentu, kaip nurodyta Komisijos deleguotojo reglamento (ES) 2024/1772 (2) 8 straipsnyje, pranešimo šablono ir duomenų laukelių struktūra turėtų būti tokia, kad finansų sektoriaus subjektai galėtų pranešti apie tokius pasikartojančius incidentus;

(4)

siekiant užtikrinti, kad informacija būtų tiksli ir naujausia, pranešimo šablonas turėtų būti toks, kad finansų sektoriaus subjektai teikdami tarpinį ir galutinį pranešimą galėtų atnaujinti visą anksčiau pateiktą informaciją ir didelius incidentus prireikus perklasifikuoti į nedidelius;

(5)

subjektus identifikuojanti teisinė informacija turėtų būti suderinta su identifikavimo informacija, nurodyta techniniuose įgyvendinimo standartuose, priimtuose pagal Reglamento (ES) 2022/2554 28 straipsnio 9 dalį;

(6)

kai finansų sektoriaus subjektai pareigą pranešti apie didelius su IRT susijusius incidentus perduoda trečiajai šaliai, kompetentingos institucijos turėtų turėti šios trečiosios šalies identifikavimo informaciją prieš jai finansų sektoriaus subjekto vardu pateikiant pirmąjį pranešimą, kad galėtų patikrinti, ar ši trečioji šalis teikia informaciją pagrįstai;

(7)

siekiant lengvai nustatyti incidento, kuris įvyko paslaugas teikiančioje trečiojoje šalyje arba kurį ši paslaugas teikianti trečioji šalis sukėlė ir kuris sutrikdė kelių finansų sektoriaus subjektų, veikiančių toje pačioje valstybėje narėje, veiklą, poveikį ir sumažinti finansų sektoriaus subjektų pranešimų teikimo naštą, pranešimų šablone turėtų būti numatyta galimybė pateikti bendrą pranešimą, apimantį agreguotą informaciją apie incidento poveikį visiems jį patyrusiems finansų sektoriaus subjektams, kurie incidentą klasifikavo kaip didelį;

(8)

pranešimo šablonas turėtų būti parengtas technologiškai neutraliu būdu, kad jį būtų galima įdiegti į įvairius jau esamus pranešimų apie incidentus teikimo sprendimus arba sprendimus, kurie gali būti parengti Reglamento (ES) 2022/2554 reikalavimams įgyvendinti;

(9)

pranešimo šablono ir duomenų laukelių struktūra turėtų būti tokia, kad trečiosioms šalims, kurioms finansų sektoriaus subjektai pagal Reglamento (ES) 2022/2554 19 straipsnio 5 dalį perdavė savo pranešimo pareigą, būtų sudarytos palankios sąlygos pranešti apie didelius su IRT susijusius incidentus;

(10)

šis reglamentas grindžiamas techninių įgyvendinimo standartų projektais, kuriuos Komisijai pateikė Europos priežiūros institucijos;

(11)

Europos priežiūros institucijos dėl techninių įgyvendinimo standartų projektų, kuriais pagrįstas šis reglamentas, surengė atviras viešas konsultacijas, išnagrinėjo galimas susijusias sąnaudas ir naudą ir paprašė Bankininkystės suinteresuotųjų subjektų grupės, įsteigtos pagal Europos Parlamento ir Tarybos reglamentų (ES) Nr. 1093/2010 (3), (ES) Nr. 1094/2010 (4) ir (ES) Nr. 1095/2010 (5) 37 straipsnį, patarimo;

(12)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (6) 42 straipsnio 1 dalimi, buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis pateikė teigiamą nuomonę 2024 m. liepos 22 d. Bet koks asmens duomenų tvarkymas pagal šį reglamentą turėtų būti atliekamas laikantis Reglamente (ES) 2018/1725 nustatytų taikytinų duomenų apsaugos principų ir nuostatų,