DELEGIRANA UREDBA KOMISIJE (EU) 2024/1772 z dne 13. marca 2024 o dopolnitvi Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi z regulativnimi tehničnimi standardi o določitvi meril za razvrščanje incidentov, povezanih z IKT, in kibernetskih groženj, ter pragov pomembnosti in podrobnosti poročil o večjih incidentih (Besedilo velja za EGP)

(1)

Cilj Uredbe (EU) 2022/2554 je harmonizirati in racionalizirati zahteve glede poročanja o incidentih, povezanih z IKT, ter operativnih ali varnostnih incidentih, povezanih s plačili, ki zadevajo kreditne institucije, plačilne institucije, ponudnike storitev zagotavljanja informacij o računih in institucije za izdajo elektronskega denarja (v nadaljnjem besedilu: incidenti). Glede na to, da zahteve glede poročanja zajemajo 20 različnih vrst finančnih subjektov, bi bilo treba merila za razvrščanje in pragove pomembnosti za določanje večjih incidentov in pomembnih kibernetskih groženj določiti na preprost, usklajen in dosleden način, ki upošteva posebnosti storitev in dejavnosti vseh zadevnih finančnih subjektov.

(2)

Za zagotovitev sorazmernosti bi morala merila za razvrščanje in pragovi pomembnosti odražati velikost in splošni profil tveganja ter naravo, obseg in kompleksnost storitev vseh finančnih subjektov. Poleg tega bi morali biti merila in pragovi pomembnosti oblikovani tako, da se dosledno uporabljajo za vse finančne subjekte, ne glede na njihovo velikost in profil tveganja, in ne pomenijo nesorazmernega bremena poročanja za manjše finančne subjekte. Vendar bi bilo treba za obravnavo primerov, ko incident, ki sam po sebi ne presega veljavnega praga, prizadene znatno število strank, določiti absolutni prag, namenjen predvsem večjim finančnim subjektom.

(3)

V zvezi z okviri za poročanje o incidentih, ki so obstajali pred začetkom veljavnosti Uredbe (EU) 2022/2554, bi bilo treba finančnim subjektom zagotoviti kontinuiteto. Zato bi bilo treba merila za razvrščanje in pragove pomembnosti uskladiti s smernicami EBA o poročanju o večjih incidentih v skladu z Direktivo (EU) 2015/2366 Evropskega parlamenta in Sveta (2), smernicami o rednih informacijah in obveščanju o pomembnih spremembah, ki jih morajo repozitoriji sklenjenih poslov predložiti ESMA, okvirom ECB/SSM za poročanje o kibernetskih incidentih in drugimi ustreznimi smernicami. Merila in pragovi za razvrščanje bi morali biti primerni tudi za finančne subjekte, za katere pred Uredbo (EU) 2022/2554 niso veljale zahteve glede poročanja o incidentih.

(4)

Kar zadeva merilo za razvrščanje „količina in število prizadetih transakcij“, je pojem transakcij širok in zajema različne dejavnosti in storitve v sektorskih aktih, ki se uporabljajo za finančne subjekte. Za namene tega merila za razvrščanje bi morale biti zajete plačilne transakcije in vse oblike menjave finančnih instrumentov, kriptosredstev, blaga ali drugih sredstev, tudi v obliki kritja, zavarovanja s premoženjem ali zastavne pravice, tako za gotovino kot za katero koli drugo sredstvo. Pri razvrščanju bi bilo treba upoštevati vse transakcije, ki vključujejo sredstva, katerih vrednost se lahko izrazi v denarnem znesku.

(5)

Merila za razvrščanje bi morala zagotoviti, da so zajete vse ustrezne vrste večjih incidentov. Številna merila za razvrščanje ne zajamejo nujno kibernetskih napadov, povezanih z vdorom v omrežne ali informacijske sisteme. Kljub temu so pomembni, saj lahko vsak vdor v omrežne in informacijske sisteme škodi finančnemu subjektu. V skladu s tem bi bilo treba merili za razvrščanje „prizadete kritične storitve“ in „izgube podatkov“ določiti tako, da bi zajeli te vrste večjih incidentov, zlasti nepooblaščene vdore, ki lahko povzročijo resne posledice, zlasti kršitve varstva podatkov in uhajanje podatkov, tudi če učinki niso takoj znani.

(6)

Ker za kreditne institucije veljata okvir za razvrščanje incidentov v skladu s členom 18 Uredbe (EU) 2022/2554 in okvir operativnega tveganja iz Delegirane uredbe Komisije (EU) 2018/959 (3), bi moral biti pristop za ocenjevanje gospodarskega učinka incidenta na podlagi izračuna stroškov in izgub v največji možni meri skladen v obeh okvirih, da bi se izognili uvedbi zahtev, ki so nezdružljive ali si nasprotujejo.

(7)

Merilo v zvezi z geografsko razpršenostjo incidenta iz člena 18(1), točka (c), Uredbe (EU) 2022/2554 bi moralo biti osredotočeno na čezmejni učinek incidenta, saj bodo učinek incidenta na dejavnosti finančnega subjekta znotraj ene jurisdikcije zajela druga merila iz navedenega člena.

(8)

Glede na to, da so merila za razvrščanje soodvisna in medsebojno povezana, bi moral pristop za identifikacijo večjih incidentov, o katerih je treba poročati v skladu s členom 19(1) Uredbe (EU) 2022/2554, temeljiti na kombinaciji meril, pri čemer bi morala imeti nekatera merila, ki so tesno povezana z opredelitvami incidenta, povezanega z IKT, in večjega incidenta, povezanega z IKT, iz člena 3(8) in (10) Uredbe (EU) 2022/2554 večji pomen pri razvrščanju večjih incidentov kot druga merila.

(9)

Za zagotovitev, da se poročila in uradna obvestila o večjih incidentih, ki jih prejmejo pristojni organi v skladu s členom 19(1) Uredbe (EU) 2022/2554, uporabljajo tako za namene nadzora kot za preprečevanje širjenja negativnih učinkov v finančnem sektorju, bi morali pragovi pomembnosti omogočati zajetje večjih incidentov, med drugim z osredotočanjem na učinek na kritične storitve, specifične za subjekt, specifične absolutne in relativne pragove strank ali finančnih partnerjev, transakcije, ki kažejo na pomemben učinek na finančni subjekt, in na pomembnost učinka v drugih državah članicah.

(10)

Incidente, ki prizadenejo storitve IKT ali omrežne in informacijske sisteme, ki podpirajo kritične ali pomembne funkcije, ali finančne storitve, za katere je potrebno dovoljenje, ali zlonameren nepooblaščen dostop do omrežnih in informacijskih sistemov, ki podpirajo kritične ali pomembne funkcije, bi bilo treba šteti za incidente, ki vplivajo na kritične storitve finančnih subjektov. Zlonameren, nepooblaščen dostop do omrežnih in informacijskih sistemov, ki podpirajo kritične ali pomembne funkcije finančnih subjektov, pomeni resno tveganje za finančni subjekt in bi ga bilo treba vedno šteti za večji incident, o katerem je treba poročati, ker lahko vpliva na druge finančne subjekte.

(11)

Ponavljajoči se incidenti, povezani s podobnim očitnim temeljnim vzrokom, ki posamično niso večji incidenti, lahko kažejo na znatne pomanjkljivosti in slabosti v postopkih finančnega subjekta za obvladovanje incidentov in tveganj. Zato bi bilo treba ponavljajoče se incidente skupaj šteti za večje, kadar se zgodijo večkrat v določenem časovnem obdobju.

(12)

Glede na to, da lahko kibernetske grožnje negativno vplivajo na finančni subjekt in sektor, bi bilo treba pri pomembnih kibernetskih grožnjah, ki jih lahko predložijo finančni subjekti, navesti verjetnost uresničitve in kritičnost potencialnega učinka. V skladu s tem bi morala biti za zagotovitev jasne in dosledne ocene pomembnosti kibernetskih groženj razvrstitev kibernetske grožnje kot pomembne odvisna od verjetnosti, da bi bili izpolnjena merila za razvrščanje večjih incidentov in njihov prag, če bi se grožnja uresničila, od vrste kibernetske grožnje in informacij, ki so na voljo finančnemu subjektu.

(13)

Glede na to, da je treba pristojne organe v drugih državah članicah uradno obvestiti o incidentih, ki vplivajo na finančne subjekte in stranke v njihovi jurisdikciji, bi morala ocena učinka v drugi jurisdikciji v skladu s členom 19(7) Uredbe (EU) 2022/2554 temeljiti na temeljnem vzroku incidenta, morebitnem širjenju negativnih učinkov prek tretjih ponudnikov in na infrastrukture finančnega trga ter učinku incidenta na pomembne skupine strank ali finančnih partnerjev.

(14)

Postopki poročanja in uradnega obveščanja iz člena 19(6) in (7) Uredbe (EU) 2022/2554 bi morali zadevnim prejemnikom omogočiti, da ocenijo učinek incidentov. Zato bi morale poslane informacije zajemati vse podrobnosti iz poročil o incidentih, ki jih finančni subjekt predloži pristojnemu organu.

(15)

Kadar incident pomeni kršitev varstva osebnih podatkov v skladu z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta (4) in Direktivo 2002/58/ES Evropskega parlamenta in Sveta (5), ta uredba ne bi smela vplivati na obveznosti evidentiranja in obveščanja o kršitvah varstva osebnih podatkov, določene v navedeni zakonodaji Unije. Pristojni organi bi morali sodelovati in si izmenjevati informacije o vseh pomembnih zadevah z organi iz Uredbe (EU) 2016/679 in Direktive 2002/58/ES.

(16)

Ta uredba temelji na osnutku regulativnih tehničnih standardov, ki so ga Komisiji predložili evropski nadzorni organi v posvetovanju z Agencijo Evropske unije za kibernetsko varnost (ENISA) in Evropsko centralno banko (ECB).

(17)

Skupni odbor evropskih nadzornih organov iz člena 54 Uredbe (EU) št. 1093/2010 Evropskega parlamenta in Sveta (6), člena 54 Uredbe (EU) št. 1094/2010 Evropskega parlamenta in Sveta (7) ter člena 54 Uredbe (EU) št. 1095/2010 Evropskega parlamenta in Sveta (8) je organiziral odprta javna posvetovanja o osnutku regulativnih tehničnih standardov, na katerem temelji ta uredba, analiziral morebitne stroške in koristi predlaganih standardov ter zaprosil za nasvet interesno skupino za bančništvo, ustanovljeno v skladu s členom 37 Uredbe (EU) št. 1093/2010, interesno skupino za zavarovanja in pozavarovanja ter interesno skupino za poklicne pokojninske sklade, ustanovljeni v skladu s členom 37 Uredbe (EU) št. 1094/2010, ter interesno skupino za vrednostne papirje in trge, ustanovljeno v skladu s členom 37 Uredbe (EU) št. 1095/2010.

(18)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (9) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 24. januarja 2024 –