PROVÁDĚCÍ NAŘÍZENÍ KOMISE (EU) 2025/302 ze dne 23. října 2024, kterým se stanoví prováděcí technické normy pro uplatňování nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o standardní formuláře, vzory a postupy pro hlášení závažného incidentu souvisejícího s IKT a oznamování významné kybernetické hrozby finančními orgány (Text s významem pro EHP)

(1)

Aby bylo zajištěno, že finanční subjekty budou závažné incidenty hlásit svým příslušným orgánům jednotným způsobem a že těmto orgánům budou poskytovat kvalitní údaje, je vhodné upřesnit, která datová pole musí finanční subjekty v různých fázích hlášení podle čl. 19 odst. 4 nařízení (EU) 2022/2554 poskytnout. Je důležité, aby tyto informace byly předkládány způsobem umožňujícím jednotný přehled o incidentu. Z tohoto důvodu je nezbytné stanovit pro tyto účely jednotný vzor hlášení.

(2)

Finanční subjekty by měly vyplnit ta datová pole vzoru hlášení, která odpovídají požadavkům na informace týkajícím se příslušného oznámení nebo zprávy. Pokud ovšem již mají k dispozici informace, které mají být poskytnuty v pozdější fázi hlášení, tj. v průběžné nebo závěrečné zprávě, měly by mít možnost předložit tyto údaje předem.

(3)

Vzhledem k tomu, že vícenásobné nebo opakující se incidenty mohou představovat závažný incident podle článku 8 nařízení Komise v přenesené pravomoci (EU) 2024/1772 (2), měla by podoba vzoru hlášení a datových polí finančním subjektům umožňovat hlášení těchto opakujících se incidentů.

(4)

V zájmu zajištění přesných a aktuálních informací by vzor hlášení měl finančním subjektům umožňovat, aby při předkládání průběžné a závěrečné zprávy veškeré dříve předložené informace aktualizovaly a v případě potřeby překlasifikovaly závažné incidenty na méně závažné.

(5)

Právní identifikace subjektů by měla být v souladu s identifikátory uvedenými v prováděcích technických normách přijatých podle čl. 28 odst. 9 nařízení (EU) 2022/2554.

(6)

Pokud finanční subjekty zadají zajištění povinného hlášení závažných incidentů souvisejících s IKT třetí straně, měly by příslušné orgány znát totožnost této třetí strany, která hlášení jménem finančního subjektu podává, ještě před předložením prvního oznámení nebo hlášení, aby mohly ověřit její oprávněnost.

(7)

V zájmu snadného zjištění dopadu incidentu, k němuž došlo u poskytovatele z řad třetích stran nebo který byl způsoben poskytovatelem z řad třetích stran a dotýká se více finančních subjektů v rámci jednoho členského státu, a za účelem snížení náročnosti hlášení pro finanční subjekty by vzor hlášení měl umožňovat předložení souhrnného hlášení obsahujícího souhrnné informace o dopadu incidentu na všechny dotčené finanční subjekty, které daný incident klasifikovaly jako závažný.

(8)

Vzor hlášení by měl být navržen technologicky neutrálním způsobem, aby se dal implementovat do různých řešení hlášení incidentů, která již existují nebo která mohou být pro účely provádění požadavků nařízení (EU) 2022/2554 vytvořena.

(9)

Podoba vzoru hlášení a datových polí by měla usnadnit hlášení závažných incidentů souvisejících s IKT třetími stranami, jimž finanční subjekty zadaly zajištění povinného hlášení závažných incidentů souvisejících s IKT v souladu s čl. 19 odst. 5 nařízení (EU) 2022/2554.

(10)

Toto nařízení vychází z návrhu prováděcích technických norem, které Komisi předložily evropské orgány dohledu.

(11)

O návrhu prováděcích technických norem, z něhož toto nařízení vychází, vedly evropské orgány dohledu otevřené veřejné konzultace, analyzovaly potenciální související náklady a přínosy a požádaly o stanovisko skupinu subjektů působících v bankovnictví zřízenou podle článku 37 nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 (3), (EU) č. 1094/2010 (4) a (EU) č. 1095/2010 (5).

(12)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (6) byl konzultován evropský inspektor ochrany údajů, který vydal kladné stanovisko dne 22. července 2024. Jakékoli zpracování osobních údajů v oblasti působnosti tohoto nařízení by mělo být prováděno v souladu s platnými zásadami ochrany údajů a s ustanoveními nařízení (EU) 2018/1725,