РЕГЛАМЕНТ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2025/302 НА КОМИСИЯТА от 23 октомври 2024 година за определяне на технически стандарти за изпълнение с оглед на прилагането на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета по отношение на стандартните формуляри, образци и процедури за докладване от страна на финансовите субекти за съществен инцидент с ИКТ и за уведомяване за значителна киберзаплаха (текст от значение за ЕИП)

(1)

за да се гарантира, че финансовите субекти докладват за съществените инциденти на своите компетентни органи по последователен начин, и за да се гарантира, че те предоставят на тези органи данни с добро качество, следва да се уточни кои полета за данни трябва да предоставят финансовите субекти на различните етапи от докладването, посочени в член 19, параграф 4 от Регламент (ЕС) 2022/2554. Важно е тази информация да бъде представена по начин, който дава възможност за единен преглед на инцидента. Поради това е необходимо да се определи единен образец за докладване за тези цели.

(2)

Финансовите субекти следва да попълват тези полета за данни в образеца за докладване, които съответстват на информацията, изисквана в съответното уведомление или доклад. Все пак следва да се разреши на финансовите субекти, които вече разполагат с информация, която трябва да предоставят на по-късен етап от докладването, т.е. в неокончателния или окончателния доклад, да представят данните по-рано.

(3)

Тъй като многобройни или повтарящи се инциденти могат да съставляват съществен инцидент, както е посочено в член 8 от Делегиран регламент (ЕС) 2024/1772 на Комисията (2), структурата на образеца за докладване и на полетата за данни следва да дава възможност на финансовите субекти да докладват такива повтарящи се инциденти.

(4)

За да се осигури точна и актуална информация, образецът за докладване следва да дава възможност на финансовите субекти при подаването на неокончателния и окончателния доклад да актуализират всяка информация, която е била подадена по-рано, и при необходимост да прекласифицират съществени инциденти като несъществени.

(5)

Правната идентификация на субектите следва да бъде приведена в съответствие с идентификаторите, посочени в техническите стандарти за изпълнение, приети съгласно член 28, параграф 9 от Регламент (ЕС) 2022/2554.

(6)

Когато финансовите субекти възлагат задълженията за докладване на съществени инциденти с ИКТ на трета страна, компетентните органи следва да са запознати със самоличността на третата страна, която докладва от името на финансовия субект, преди подаването на първото уведомление или докладване, за да проверят легитимността на докладващата трета страна.

(7)

За да може лесно да се установи въздействието на инцидент, който е възникнал или е бил причинен от трета страна доставчик и който засяга множество финансови субекти в рамките на една държава членка, и за да се намалят усилията за докладване на финансовите субекти, образецът за докладване следва да позволява представянето на обобщен доклад, включващ обобщена информация за въздействието на инцидента върху всички засегнати финансови субекти, които са класифицирали инцидента като съществен.

(8)

Образецът за докладване следва да бъде разработен по технологично неутрален начин, за да може да бъде внедрен в различни решения за докладване на инциденти, които вече съществуват или може да бъдат разработени за изпълнение на изискванията на Регламент (ЕС) 2022/2554.

(9)

Структурата на образеца за докладване и полетата за данни следва да улеснят докладването на съществени инциденти с ИКТ от трети страни, на които финансовите субекти са възложили задължението си за докладване в съответствие с член 19, параграф 5 от Регламент (ЕС) 2022/2554.

(10)

Настоящият регламент е изготвен въз основа на проектите на технически стандарти за изпълнение, представени на Комисията от европейските надзорни органи.

(11)

Европейските надзорни органи проведоха открити обществени консултации по проектите на техническите стандарти за изпълнение, въз основа на които е изготвен настоящият регламент, анализираха потенциалните разходи и ползи и поискаха становище от Групата на участниците от банковия сектор, създадена в съответствие с член 37 от Регламент (ЕС) № 1093/2010 (3), (ЕС) № 1094/2010 (4), (ЕС) № 1095/2010 (5) на Европейския парламент и на Съвета.

(12)

В съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (6) беше проведена консултация с Европейския надзорен орган по защита на данните, който прие положително становище на 22 юли 2024 г. Всяко обработване на лични данни в обхвата на настоящия регламент следва да се извършва в съответствие с приложимите принципи и разпоредби за защита на данните, установени в Регламент (ЕС) 2018/1725,