+Incident Communication and Reporting

Incident Communication and Reporting

Create communication plans to inform both internal (staff, senior management) and external (clients/customers, financial counterparts) stakeholders on incidents. Designate at least one person in the to be tasked with implementing the communication strategy for ICT- related incidents and fulfil the public and media function for that purpose. Inform affected customers promptly upon awareness of an incident that impacts them. Provide details on the incident and outline mitigating measures taken and planned. Report major incidents to the regulator, involving three stages: 1) initial notification upon discovering the incident (within 4 hours from the moment of classification of the incident as major, but no later than 24 hours from the time of detection of the incident) , 2) intermediate report on incident developments (within 72 hours from the submission of the initial notification even where the status or the handling of the incident have not changed, or when regular activities have been recovered), and 3) the final report with the root cause analysis and follow-up actions (no later than one month from the submission of the latest updated intermediate report). 

The reporting obligations may be outsourced to a third-party service provider. In case of such outsourcing, the financial entity remains fully responsible for the fulfilment of the incident reporting requirements.

Also provide notifications to the regulator on significant cyber threats. The incident reports and notifications on cyber threats shall follow the content guidelines defined in the corresponding RTS/ITS. 

1. Ħarsa ġenerali

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Regolamenti relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Regolamenti relatati

Regolamenti
EULAW Artikolu 13 2

2.   L-entitajiet finanzjarji għandhom jistabbilixxu rieżamijiet għal wara li inċident kbir relatat mal-ICT jfixkel l-attivitajiet ewlenin tagħhom, billi janalizzaw il-kawżi tat-tfixkil u jidentifikaw it-titjib meħtieġ fl-operazzjonijiet tal-ICT jew fil-politika tal-kontinwità tal-operat tal-ICT imsemmija fl-Artikolu 11.

L-entitajiet finanzjarji, għajr il-mikrointrapriżi, għandhom, fuq talba, jikkomunikaw lill-awtoritajiet kompetenti l-bidliet li ġew implimentati wara li jkunu saru r-rieżamijiet ta’ wara inċident relatat mal-ICT kif imsemmi fl-ewwel subparagrafu.

Ir-rieżamijiet li jsiru wara l-inċidenti relatati mal-ICT imsemmija fl-ewwel subparagrafu għandhom jiddeterminaw jekk il-proċeduri stabbiliti ġewx segwiti u jekk l-azzjonijiet meħuda kinux effettivi, inkluż rigward dan li ġej:

(a)

il-prontezza fir-rispons għall-allerti tas-sigurtà u d-determinazzjoni tal-impatt tal-inċidenti relatati mal-ICT u s-severità tagħhom;

(b)

il-kwalità u l-ħeffa tat-twettiq ta’ analiżi forensika, fejn tqieset xierqa;

(c)

l-effettività tal-eskalazzjoni tal-inċidenti fl-entità finanzjarja;

(d)

l-effettività tal-komunikazzjoni interna u esterna.
EULAW Artikolu 14 3

3.   Mill-inqas persuna waħda fl-entità finanzjarja għandha tingħata l-kompitu li timplimenta l-istrateġija ta’ komunikazzjoni għal inċidenti relatati mal-ICT u taqdi l-funzjoni pubblika u għall-media għal dak l-iskop.
EULAW Artikolu 17 1

1.   L-entitajiet finanzjarji għandhom jiddefinixxu, jistabbilixxu u jimplimentaw proċess ta’ ġestjoni ta’ inċidenti relatati mal-ICT biex jindividwaw, jimmaniġġjaw u jinnotifikaw inċidenti relatati mal-ICT.
EULAW Artikolu 17 2

2.   L-entitajiet finanzjarji għandhom jirreġistraw l-inċidenti kollha relatati mal-ICT u t-theddid ċibernetiku sinifikanti. L-entitajiet finanzjarji għandhom jistabbilixxu proċeduri u proċessi xierqa biex jiżguraw monitoraġġ, maniġġar u segwitu konsistenti u integrati tal-inċidenti relatati mal-ICT, biex jiżguraw li l-kawżi ewlenin jiġu identifikati, iddokumentati u indirizzati sabiex jipprevjenu tali inċidenti.
EULAW Artikolu 17 3

3.   Il-proċess ta’ ġestjoni tal-inċidenti relatati mal-ICT imsemmi fil-paragrafu 1 għandu:

(a)

jistabbilixxi indikaturi ta’ twissija bikrija;

(b)

jistabbilixxi proċeduri biex jidentifikaw, jittraċċaw, jirreġistraw, jikkategorizzaw u jikklassifikaw inċidenti relatati mal-ICT skont il-prijorità tagħhom u s-severità u skont il-kritikalità tas-servizzi milquta, f’konformità mal-kriterji stabbiliti fl-Artikolu 18(1);

(c)

jassenja rwoli u responsabbiltajiet li jeħtieġ li jiġu attivati għal tipi u xenarji differenti ta’ inċidenti relatati mal-ICT;

(d)

jistabbilixxi pjanijiet għall-komunikazzjoni mal-persunal, mal-partijiet ikkonċernati esterni u mal-media f’konformità mal-Artikolu 14, u għan-notifika lill-klijenti, għall-proċeduri interni ta’ eskalazzjoni, inkluż ilmenti tal-klijenti relatati mal-ICT, kif ukoll għall-għoti ta’ informazzjoni lill-entitajiet finanzjarji li jaġixxu bħala kontropartijiet, kif xieraq;

(e)

jiżgura li mill-inqas l-inċidenti l-kbar relatati mal-ICT jiġu rrappurtati lill-maniġment superjuri rilevanti u li l-korp maniġerjali jiġi infurmat dwar inċidenti relatati mal-ICT, mill-inqas dawk kbar, filwaqt li jispjega l-impatt, ir-rispons u l-kontrolli addizzjonali li għandhom jiġu stabbiliti bħala riżultat ta’ inċidenti bħal dawn relatati mal-ICT;

(f)

jistabbilixxi proċeduri ta’ rispons għal inċidenti relatati mal-ICT biex jittaffu l-impatti u jiżgura li s-servizzi jsiru operazzjonali u siguri fil-waqt.
EULAW Artikolu 19 1

1.   L-entitajiet finanzjarji għandhom jirrapportaw inċidenti kbar relatati mal-ICT lill-awtorità kompetenti rilevanti kif imsemmi fl-Artikolu 46 f’konformità mal-paragrafu 4 ta’ dan l-Artikolu.

Meta entità finanzjarja tkun soġġetta għal superviżjoni minn aktar minn awtorità kompetenti nazzjonali waħda msemmija fl-Artikolu 46, l-Istati Membri għandhom jiddeżinjaw awtorità kompetenti waħda bħala l-awtorità kompetenti rilevanti responsabbli biex twettaq il-funzjonijiet u d-dmirijiet previsti f’dan l-Artikolu.

L-istituzzjonijiet ta’ kreditu kklassifikati bħala sinifikanti, skont l-Artikolu 6(4) tar-Regolament (UE) Nru 1024/2013, għandhom jirrapportaw inċidenti kbar relatati mal-ICT lill-awtorità kompetenti nazzjonali rilevanti ddeżinjata skont l-Artikolu 4 tad-Direttiva 2013/36/UE, li għandha tibgħat immedjatament dak ir-rapport lill-BĊE.

Għall-fini tal-ewwel subparagrafu, l-entitajiet finanzjarji għandhom jipproduċu, wara li jiġbru u janalizzaw l-informazzjoni rilevanti kollha, in-notifika u r-rapporti inizjali msemmija fil-paragrafu 4 ta’ dan l-Artikolu fuq il-mudelli msemmija fl-Artikolu 20 u jippreżentawhom lill-awtorità kompetenti. F’każ li jkun teknikament impossibbli li tintbagħat in-notifika inizjali fuq il-mudell, l-entitajiet finanzjarji għandhom jinnotifikaw lill-awtoritajiet kompetenti dwarha b’mezzi oħra.

In-notifika u r-rapporti inizjali msemmija fil-paragrafu 4 għandhom jinkludi l-informazzjoni kollha meħtieġa sabiex l-awtorità kompetenti tkun tista’ tiddetermina s-sinifikat tal-inċident kbir relatat mal-ICT u tivvaluta l-impatti transfruntiera possibbli.

Mingħajr preġudizzju għar-rappurtar skont l-ewwel subparagrafu mill-entità finanzjarja lill-awtorità kompetenti rilevanti, l-Istati Membri jistgħu, barra minn dan, jiddeterminaw li xi entitajiet finanzjarji, jew kollha, għandhom ukoll jipprovdu n-notifika inizjali u kull rapport imsemmi fil-paragrafu 4 ta’ dan l-Artikolu fuq il-mudelli msemmija fl-Artikolu 20 lill-awtoritajiet kompetenti jew lill-Iskwadri ta’ Rispons għal Inċidenti relatati mas-Sigurtà tal-Kompjuters (CSIRTs) iddeżinjati jew stabbiliti f’konformità mad-Direttiva (UE) 2022/2555.
EULAW Artikolu 19 2

2.   L-entitajiet finanzjarji jistgħu, fuq bażi volontarja, jinnotifikaw theddidiet ċibernetiċi sinifikanti lill-awtorità kompetenti rilevanti meta jqisu li t-theddida tkun ta’ rilevanza għas-sistema finanzjarja, għall-utenti tas-servizzi jew għall-klijenti. L-awtorità kompetenti rilevanti tista’ tipprovdi tali informazzjoni lil awtoritajiet rilevanti oħra msemmija fil-paragrafu 6.

L-istituzzjonijiet ta’ kreditu kklassifikati bħala sinifikanti, skont l-Artikolu 6(4) tar-Regolament (UE) Nru 1024/2013, jistgħu, fuq bażi volontarja, jinnotifikaw theddid ċibernetiku sinifikanti lill-awtorità kompetenti nazzjonali rilevanti, iddeżinjata skont l-Artikolu 4 tad-Direttiva 2013/36/UE, li għandha tibgħat immedjatament dak ir-rapport lill-BĊE.

L-Istati Membri jistgħu jiddeterminaw li dawk l-entitajiet finanzjarji li, f’konformità mal-ewwel subparagrafu, jinnotifikaw fuq bażi volontarja, jistgħu jibagħtu wkoll dik in-notifika lis-CSIRTs iddeżinjati jew stabbiliti f’konformità mad-Direttiva (UE) 2022/2555.
EULAW Artikolu 19 3

3.   Meta jseħħ inċident kbir relatat mal-ICT u dan ikollu impatt fuq l-interessi finanzjarji tal-klijenti, l-entitajiet finanzjarji għandhom, mingħajr dewmien żejjed malli jindunaw bih, jinformaw lill-klijenti tagħhom dwar l-inċident kbir relatat mal-ICT u dwar il-miżuri li jkunu ttieħdu biex itaffu l-effetti negattivi ta’ inċident bħal dak.

Fil-każ ta’ theddida ċibernetika sinifikanti, l-entitajiet finanzjarji għandhom, fejn applikabbli, jinformaw lill-klijenti tagħhom li potenzjalment ġew affettwati dwar kwalunkwe miżura ta’ protezzjoni xierqa li jistgħu jikkunsidraw li jieħdu bħala klijenti.
EULAW Artikolu 19 4

4.   L-entitajiet finanzjarji għandhom, fil-limiti ta’ żmien li jiġu stabbiliti f’konformità mal-Artikolu 20, l-ewwel paragrafu, il-punt (a), il-punt (ii), jippreżentaw dan li ġej lill-awtorità kompetenti rilevanti:

(a)

notifika inizjali;

(b)

rapport intermedju wara n-notifika inizjali msemmija fil-punt (a), hekk kif l-istatus tal-inċident oriġinali jkun inbidel b’mod sinifikanti jew it-trattament tal-inċident kbir relatat mal-ICT ikun inbidel abbażi tal-informazzjoni ġdida disponibbli, segwit, kif xieraq, minn notifiki aġġornati kull darba li jkun disponibbli aġġornament rilevanti tal-istatus, kif ukoll fuq talba speċifika tal-awtorità kompetenti;

(c)

rapport finali, meta l-analiżi tal-kawża ewlenija tkun tlestiet, irrispettivament minn jekk il-miżuri ta’ mitigazzjoni jkunux diġà ġew implimentati, u meta ċ-ċifri tal-impatt attwali jkunu disponibbli biex jissostitwixxu l-estimi.
EULAW Artikolu 19 5

5.   L-entitajiet finanzjarji jistgħu jesternalizzaw, skont il-liġi settorjali tal-Unjoni u dik nazzjonali, l-obbligi ta’ rappurtar skont dan l-Artikolu lil fornitur terz ta’ servizz. Fil-każ ta’ esternalizzazzjoni bħal din, l-entità finanzjarja tibqa’ terfa’ r-responsabbiltà sħiħa li tissodisfa r-rekwiżiti dwar ir-rappurtar tal-inċident.