DELEGIRANA UREDBA KOMISIJE (EU) 2025/301 z dne 23. oktobra 2024 o dopolnitvi Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi z regulativnimi tehničnimi standardi, ki določajo vsebino in roke za začetno uradno obvestilo ter vmesno in končno poročilo o večjih incidentih, povezanih z IKT, ter vsebino prostovoljnega uradnega obvestila o pomembnih kibernetskih grožnjah (Besedilo velja za EGP)

(1)

Za zagotovitev harmonizacije in racionalizacije zahtev glede uradnega obveščanja in poročanja o večjih incidentih, povezanih z IKT, iz člena 19(4) Uredbe (EU) 2022/2554 bi moral biti pri rokih za poročanje o večjih incidentih, povezanih z IKT, za vse vrste finančnih subjektov uporabljen dosleden pristop. Zato bi moral biti pri rokih tudi v največji možni meri uporabljen pristop, skladen z zahtevami iz Direktive (EU) 2022/2555 Evropskega parlamenta in Sveta, in roki bi morali biti vsaj enakovredni tem zahtevam (2).

(2)

Da finančni subjekti v času, ko obravnavajo incident, povezan z IKT, zaradi poročanja ne bi bili nepotrebno obremenjeni, bi morala biti vsebina začetnega uradnega obvestila omejena na najpomembnejše informacije. Da bi pristojni organi lahko sprejeli ustrezne nadzorne ukrepe, morajo informacije o večjih incidentih, povezanih z IKT, prejeti čim prej po tem, ko je finančni subjekt incident, povezan z IKT, razvrstil kot večji incident. Zato bi moral biti rok za predložitev začetnega uradnega obvestila iz člena 19(4), točka (a), Uredbe (EU) 2022/2554 čim prej po razvrstitvi incidenta, povezanega z IKT, kot večjega, hkrati pa še vedno omogočati prožnost, zlasti za poslovne modele storitev, ki niso posebej časovno občutljivi, če finančni subjekti potrebujejo več časa za obravnavo incidenta, povezanega z IKT, po tem, ko zanj izvejo.

(3)

Po prejemu začetnega uradnega obvestila bi morali pristojni organi v vmesnem poročilu prejeti podrobnejše informacije o incidentu, povezanem z IKT, v končnem poročilu pa vse relevantne informacije. Informacije v teh poročilih bi morale pristojnim organom omogočiti, da nadalje ocenijo incidente, povezane z IKT, in ovrednotijo nadzorne ukrepe, ki bi jih morda želeli sprejeti.

(4)

Roki za poročanje iz člena 20, prvi odstavek, točka (a)(ii), Uredbe (EU) 2022/2554 bi morali zato zagotavljati ravnotežje med potrebo, da pristojni organi prejmejo informacije hitro, in potrebo, da se finančnim subjektom da na voljo dovolj časa za pridobitev popolnih in točnih informacij.

(5)

Ob upoštevanju meril iz člena 20, prvi odstavek, točka (a), Uredbe (EU) 2022/2554 roki za poročanja ne bi smeli nesorazmerno obremeniti mikropodjetij in drugih finančnih subjektov, ki niso pomembni finančni subjekti. Da bi se izognili nesorazmernemu bremenu za finančne subjekte, bi se morali pri rokih za poročanje upoštevati konci tedna in prazniki.

(6)

Ker se o pomembnih kibernetskih grožnjah obvešča prostovoljno, vsebina takih uradnih obvestil ne bi smela obremeniti finančnih subjektov in bi morala biti bolj omejena kot informacije, ki se zahtevajo za večje incidente, povezane z IKT.

(7)

Ta uredba temelji na osnutku regulativnih tehničnih standardov, ki so ga Komisiji predložili evropski nadzorni organi.

(8)

Evropski nadzorni organi so opravili odprta javna posvetovanja o osnutku regulativnih tehničnih standardov, na katerem temelji ta uredba, analizirali morebitne povezane stroške in koristi ter zaprosili za nasvet interesne skupine, ustanovljene v skladu s členom 37 uredb (EU) št. 1093/2010 (3), (EU) št. 1094/2010 (4) in (EU) št. 1095/2010 (5) Evropskega parlamenta in Sveta.

(9)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (6) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je pozitivno mnenje podal 22. julija 2024. Vsaka obdelava osebnih podatkov v okviru področja uporabe te uredbe bi morala potekati v skladu z veljavnimi načeli in določbami o varstvu podatkov iz Uredbe (EU) 2018/1725 –