A BIZOTTSÁG (EU) 2024/1772 FELHATALMAZÁSON ALAPULÓ RENDELETE (2024. március 13.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek az IKT-vonatkozású események és kiberfenyegetések osztályozására vonatkozó kritériumokat, a lényegességi küszöbértékeket és a jelentős eseményekkel kapcsolatos bejelentések részleteit meghatározó szabályozástechnikai standardok tekintetében történő kiegészítéséről (EGT-vonatkozású szöveg)

(1)

Az (EU) 2022/2554 rendelet célja, hogy harmonizálja és észszerűsítse a hitelintézeteket, a pénzforgalmi intézményeket, a számlainformációs szolgáltatókat és az elektronikuspénz-kibocsátó intézményeket érintő IKT-vonatkozású, valamint a pénzforgalmi vonatkozású működési vagy biztonsági eseményekre (a továbbiakban: események) vonatkozó bejelentési követelményeket. Tekintettel arra, hogy a bejelentési követelmények 20 különböző típusú pénzügyi szervezetre vonatkoznak, a jelentős események és a jelentős kiberfenyegetések meghatározására szolgáló osztályozási kritériumokat és lényegességi küszöbértékeket egyszerű, harmonizált és egységes módon kell meghatározni, figyelembe véve valamennyi érintett pénzügyi szervezet szolgáltatásainak és tevékenységeinek sajátosságait.

(2)

Az arányosság biztosítása érdekében az osztályozási kritériumoknak és a lényegességi küszöbértékeknek tükrözniük kell valamennyi pénzügyi szervezet méretét és általános kockázati profilját, valamint szolgáltatásainak jellegét, nagyságrendjét és összetettségét. Ezenkívül a kritériumokat és a lényegességi küszöbértékeket úgy kell kialakítani, hogy méretüktől és kockázati profiljuktól függetlenül valamennyi pénzügyi szervezetre következetesen alkalmazandók legyenek, és ne jelentsenek aránytalan bejelentési terhet a kisebb pénzügyi szervezetek számára. Azon helyzetek kezelése érdekében azonban, amikor jelentős számú ügyfelet érint egy olyan esemény, amely önmagában nem haladja meg az alkalmazandó küszöbértéket, abszolút küszöbértéket kell meghatározni, amely elsősorban a nagyobb pénzügyi szervezetekre irányul.

(3)

Az (EU) 2022/2554 rendelet hatálybalépése előtt meglévő eseménybejelentési keretekkel kapcsolatban biztosítani kell a folytonosságot a pénzügyi szervezetek számára. Ezért az osztályozási kritériumokat és a lényegességi küszöbértékeket össze kell hangolni az Európai Bankhatóságnak (a továbbiakban: EBH) az (EU) 2366/2015 európai parlamenti és tanácsi irányelv (2) szerinti, a jelentős események bejelentéséről szóló iránymutatásaival, a kereskedési adattárak által az ESMA-nak benyújtandó, az időszakos tájékoztatásról és a lényeges változásokról szóló értesítésről szóló iránymutatással, az EKB/SSM kiberbiztonsági eseményekre vonatkozó adatszolgáltatási keretrendszerével és más vonatkozó iránymutatásokkal, valamint azokból kell meríteni. Az osztályozási kritériumoknak és küszöbértékeknek megfelelőeknek kell lenniük azon pénzügyi szervezetek számára is, amelyek az (EU) 2022/2554 rendelet előtt nem tartoztak az események bejelentésére vonatkozó követelmények hatálya alá.

(4)

Ami az „érintett ügyletek összege vagy száma” osztályozási kritériumot illeti, az ügyletek fogalma tág, és magában foglalja a pénzügyi szervezetekre alkalmazandó ágazati jogi aktusok különböző tevékenységeit és szolgáltatásait. Ezen osztályozási kritérium alkalmazásában a fizetési műveletekre és a pénzügyi eszközök, kriptoeszközök, áruk vagy bármely más eszköz – letét, biztosíték vagy zálogkölcsön formájában történő – cseréjének minden formájára ki kell terjednie, mind készpénz, mind pedig bármely más eszköz ellenében. Az osztályozás szempontjából minden olyan ügyletet figyelembe kell venni, amely olyan eszközöket érint, amelyek értéke pénzben kifejezhető.

(5)

Az osztályozási kritériumoknak biztosítaniuk kell, hogy a jelentős események valamennyi releváns típusát figyelembe vegyék. A hálózati vagy információs rendszerekbe való behatolással kapcsolatos kibertámadásokat számos osztályozási kritérium nem feltétlenül fedi le. Ezek azonban fontosak, mivel a hálózati és információs rendszerekbe való bármilyen behatolás kárt okozhat a pénzügyi szervezetnek. Ennek megfelelően az „érintett kritikus szolgáltatások” és az „adatvesztések” osztályozási kritériumait úgy kell meghatározni, hogy azok magukban foglalják az ilyen típusú jelentős eseményeket, különösen az illetéktelen behatolásokat, amelyek – még ha a hatások nem is azonnal ismertek – súlyos következményekhez, különösen adatvédelmi incidensekhez és adatszivárgásokhoz vezethetnek.

(6)

Mivel a hitelintézetekre mind az eseményeknek az (EU) 2022/2554 rendelet 18. cikke szerinti osztályozási keretrendszere, mind az (EU) 2018/959 felhatalmazáson alapuló bizottsági rendelet (3) szerinti működési kockázati keret vonatkozik, a költségek és veszteségek kiszámításán alapuló, az események gazdasági hatásának értékelésére szolgáló megközelítésnek a lehető legnagyobb mértékben egységesnek kell lennie mindkét keretrendszerben, az összeegyeztethetetlen vagy egymásnak ellentmondó követelmények bevezetésének elkerülése érdekében.

(7)

Az (EU) 2022/2554 rendelet 18. cikke (1) bekezdésének c) pontjában meghatározott, az esemény földrajzi kiterjedésére vonatkozó kritériumnak az esemény határokon átnyúló hatására kell összpontosítania, mivel az eseménynek az adott joghatóságon belüli pénzügyi szervezet tevékenységeire gyakorolt hatását az említett cikkben meghatározott egyéb kritériumok fogják figyelembe venni.

(8)

Tekintettel arra, hogy az osztályozási kritériumok összefüggenek egymással és kapcsolódnak egymáshoz, az (EU) 2022/2554 rendelet 19. cikkének (1) bekezdésével összhangban bejelentendő jelentős események azonosítására szolgáló megközelítésnek kritériumok kombinációján kell alapulnia úgy, hogy az IKT-vonatkozású eseménynek és a jelentős IKT-vonatkozású eseménynek az (EU) 2022/2554 rendelet 3. cikkének (8) és (10) bekezdésében meghatározott fogalommeghatározásaihoz szorosan kapcsolódó egyes kritériumoknak más kritériumoknál nagyobb hangsúlyt kell kapniuk a jelentős események osztályozásában.

(9)

Annak biztosítása érdekében, hogy az illetékes hatóságok által az (EU) 2022/2554 rendelet 19. cikkének (1) bekezdése alapján a jelentős eseményekről kapott bejelentések és értesítések mind felügyeleti célokat, mind pedig a pénzügyi szektoron belüli fertőzés megelőzését szolgálják, a lényegességi küszöbértékeknek lehetővé kell tenniük a jelentős események azonosítását, többek között a szervezetspecifikus kritikus szolgáltatásokra gyakorolt hatásra, az ügyfelek vagy pénzügyi partnerek egyedi abszolút és relatív küszöbértékeire, a pénzügyi szervezetre gyakorolt lényeges hatást jelző ügyletekre, valamint a más tagállamokban gyakorolt hatás jelentőségére összpontosítva.

(10)

A kritikus vagy fontos funkciókat támogató IKT-szolgáltatásokat vagy hálózati és információs rendszereket, illetve engedélyköteles pénzügyi szolgáltatásokat érintő eseményeket, továbbá a kritikus vagy fontos funkciókat támogató hálózati és információs rendszerekhez való rosszindulatú illetéktelen hozzáférést a pénzügyi szervezetek kritikus szolgáltatásait érintő eseményeknek kell tekinteni. A pénzügyi szervezetek kritikus vagy fontos funkcióit támogató hálózati és információs rendszerekhez való rosszindulatú illetéktelen hozzáférés súlyos kockázatot jelent a pénzügyi szervezet számára, és mivel más pénzügyi szervezeteket is érinthet, mindig bejelentendő jelentős eseménynek kell tekinteni.

(11)

Az olyan ismétlődő események, amelyek hasonló nyilvánvaló kiváltó ok miatt kapcsolódnak egymáshoz, és amelyek önmagukban nem minősülnek jelentős eseménynek, jelentős hiányosságokra és gyengeségekre utalhatnak a pénzügyi szervezet esemény- és kockázatkezelési eljárásaiban. Ezért az ismétlődő eseményeket együttesen jelentősnek kell tekinteni, ha egy bizonyos időszak alatt ismétlődően előfordulnak.

(12)

Tekintettel arra, hogy a kiberfenyegetések negatív hatást gyakorolhatnak a pénzügyi szervezetre és ágazatra, a pénzügyi szervezetek által a jelentős kiberfenyegetésekkel kapcsolatban tett bejelentéseknek jelezniük kell a bekövetkezés valószínűségét és a lehetséges hatás kritikusságát. Ennek megfelelően a kiberfenyegetések jelentőségének egyértelmű és következetes értékelése érdekében a kiberfenyegetés jelentősnek minősítésének egyrészt annak valószínűségétől kell függenie, hogy a fenyegetés bekövetkezése esetén a jelentős eseményekre vonatkozó osztályozási kritériumok teljesülnének-e és azok küszöbértékét elérnék-e, másrészt a kiberfenyegetés típusától és a pénzügyi szervezet rendelkezésére álló információktól.

(13)

Tekintettel arra, hogy más tagállamok illetékes hatóságait értesíteni kell a joghatóságuk alá tartozó pénzügyi szervezeteket és ügyfeleket érintő eseményekről, az (EU) 2022/2554 rendelet 19. cikkének (7) bekezdésével összhangban egy másik joghatóságra gyakorolt hatás értékelésének a következőkön kell alapulnia: az esemény kiváltó oka, a harmadik fél szolgáltatókon és a pénzügyi piaci infrastruktúrákon keresztüli lehetséges átterjedés, valamint az eseménynek az ügyfelek vagy pénzügyi partnerek jelentős csoportjaira gyakorolt hatása.

(14)

Az (EU) 2022/2554 rendelet 19. cikkének (6) és (7) bekezdésében említett bejelentési és értesítési eljárásoknak lehetővé kell tenniük az érintett címzettek számára az események hatásának értékelését. Ezért a közölt információknak ki kell terjedniük a pénzügyi szervezet által az illetékes hatóságnak benyújtott eseménybejelentésekben szereplő valamennyi részletre.

(15)

Amennyiben egy esemény az (EU) 2016/679 európai parlamenti és tanácsi rendelet (4) és a 2002/58 európai parlamenti és tanácsi irányelv (5) szerinti adatvédelmi incidensnek minősül, ez a rendelet nem érintheti a személyes adatok megsértésére vonatkozóan az említett uniós jogszabályokban meghatározott rögzítési és értesítési kötelezettségeket. Az illetékes hatóságoknak minden releváns kérdésben együtt kell működniük és információt kell cserélniük az (EU) 2016/679 rendeletben és a 2002/58/EK irányelvben említett hatóságokkal.

(16)

Ez a rendelet az európai felügyeleti hatóságok által az Európai Uniós Kiberbiztonsági Ügynökséggel (a továbbiakban: ENISA) és az Európai Központi Bankkal (a továbbiakban: EKB) konzultálva a Bizottsághoz benyújtott szabályozástechnikai standardtervezeteken alapul.

(17)

Az 1093/2010/EU európai parlamenti és tanácsi rendelet (6) 54. cikkében, az 1094/2010/EU európai parlamenti és tanácsi rendelet (7) 54. cikkében, valamint az 1095/2010/EU európai parlamenti és tanácsi rendelet (8) 54. cikkében említett, európai felügyeleti hatóságok vegyes bizottsága nyilvános konzultációt folytatott az e rendelet alapját képező szabályozástechnikai standardtervezetekről, elemezte a javasolt standardok esetleges költségeit és hasznát, továbbá kikérte az 1093/2010/EU rendelet 37. cikkével összhangban létrehozott Banki Érdekképviseleti Csoport, az 1094/2010/EU rendelet 37. cikkével összhangban létrehozott Biztosítási és Viszontbiztosítási Érdekképviseleti Csoport és a Foglalkoztatói-nyugdíj Érdekképviseleti Csoport, valamint az 1095/2010/EU rendelet 37. cikkével összhangban létrehozott Értékpapírpiaci Érdekképviseleti Csoport tanácsát.

(18)

Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet (9) 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki 2024. január 24-én véleményt nyilvánított.