REGOLAMENT DELEGAT TAL-KUMMISSJONI (UE) 2025/301 tat-23 ta’ Ottubru 2024 li jissupplimenta r-Regolament (UE) 2022/2554 tal-Parlament Ewropew u tal-Kunsill fir-rigward tal-istandards tekniċi regolatorji li jispeċifikaw il-kontenut u l-limiti ta’ żmien għan-notifika inizjali ta’ inċidenti kbar relatati mal-ICT, u r-rapport intermedju u dak finali dwarhom, u l-kontenut tan-notifika volontarja għal theddid ċibernetiku sinifikanti (Test b’rilevanza għaż-ŻEE)

(1)

Sabiex jiġu żgurati l-armonizzazzjoni u s-simplifikazzjoni tar-rekwiżiti ta’ notifika u rapportar għal inċidenti kbar relatati mal-ICT imsemmija fl-Artikolu 19(4) tar-Regolament (UE) 2022/2554, il-limiti ta’ żmien għar-rapportar ta’ inċidenti kbar relatati mal-ICT jenħtieġ li jsegwu approċċ konsistenti għat-tipi kollha ta’ entitajiet finanzjarji. Għal dawn ir-raġunijiet, il-limiti ta’ żmien jenħtieġ li jsegwu wkoll, kemm jista’ jkun, approċċ konsistenti mar-rekwiżiti stabbiliti fid-Direttiva (UE) 2022/2555 tal-Parlament Ewropew u tal-Kunsill (2), u tal-anqas ikunu ekwivalenti għalihom f’dak li jirrigwarda l-effett.

(2)

Sabiex tiġi evitata l-impożizzjoni ta’ piż mhux dovut ta’ rapportar fuq l-entitajiet finanzjarji fi żmien meta jkunu qed jittrattaw inċident relatat mal-ICT, il-kontenut tan-notifika inizjali jenħtieġ li jkun limitat għall-aktar informazzjoni sinifikanti. Sabiex ikunu jistgħu jieħdu azzjoni superviżorja xierqa, l-awtoritajiet kompetenti jeħtieġ li jirċievu informazzjoni dwar inċidenti kbar relatati mal-ICT malajr kemm jista’ jkun wara li l-entità finanzjarja tkun ikklassifikat inċident relatat mal-ICT bħala kbir. Konsegwentement, il-limitu ta’ żmien għas-sottomissjoni ta’ notifika inizjali kif imsemmi fl-Artikolu 19(4), il-punt (a), tar-Regolament (UE) 2022/2554 jenħtieġ li jkun qasir kemm jista’ jkun wara li inċident relatat mal-ICT ikun ġie kklassifikat bħala kbir, filwaqt li xorta jippermetti flessibbiltà, speċjalment għal mudelli ta’ negozju tas-servizzi li ż-żmien mhux partikolarment kritiku għalihom, f’każ li l-entitajiet finanzjarji jeħtieġu aktar żmien biex jittrattaw l-inċident relatat mal-ICT wara li jsiru konxji minnu.

(3)

Wara li jkunu rċevew in-notifika inizjali, l-awtoritajiet kompetenti jenħtieġ li jirċievu informazzjoni aktar dettaljata dwar l-inċident relatat mal-ICT fir-rapport intermedju u l-informazzjoni rilevanti kollha fir-rapport finali. L-informazzjoni f’dawk ir-rapporti jenħtieġ li tippermetti lill-awtoritajiet kompetenti jivvalutaw aktar l-inċident relatat mal-ICT u jevalwaw l-azzjonijiet superviżorji li jistgħu jkunu jridu jieħdu.

(4)

Il-limiti ta’ żmien għar-rapportar imsemmija fl-Artikolu 20, l-ewwel paragrafu, il-punt (a)(ii), tar-Regolament (UE) 2022/2554 jenħtieġ li għalhekk jżommu bilanċ bejn il-ħtieġa li l-awtoritajiet kompetenti jirċievu l-informazzjoni malajr u l-ħtieġa li l-entitajiet finanzjarji jingħataw biżżejjed żmien biex jiksbu informazzjoni kompluta u preċiża.

(5)

Filwaqt li jitqiesu l-kriterji stabbiliti fl-Artikolu 20, l-ewwel paragrafu, il-punt (a), tar-Regolament (UE) 2022/2554, l-iskedi ta’ żmien tar-rapportar jenħtieġ li ma joħolqux piż sproporzjonat għall-mikrointrapriżi u għal entitajiet finanzjarji oħra mhux ta’ daqs sinifikanti. Barra minn hekk, biex jiġi evitat piż sproporzjonat fuq l-entitajiet finanzjarji, il-limiti ta’ żmien għar-rapportar jenħtieġ li jqisu tmiem il-ġimgħat u l-vaganzi bankarji.

(6)

Peress li t-theddid ċibernetiku sinifikanti għandu jiġi nnotifikat fuq bażi volontarja, il-kontenut ta’ tali notifiki jenħtieġ li ma jimponix piż fuq l-entitajiet finanzjarji u jenħtieġ li jkun aktar limitat mill-informazzjoni mitluba għal inċidenti kbar relatati mal-ICT.

(7)

Dan ir-Regolament huwa bbażat fuq l-abbozz tal-istandards tekniċi regolatorji ppreżentat lill-Kummissjoni mill-Awtoritajiet Superviżorji Ewropej.

(8)

L-Awtoritajiet Superviżorji Ewropej wettqu konsultazzjonijiet pubbliċi miftuħa dwar l-abbozz tal-istandards tekniċi regolatorji li fuqhom huwa bbażat dan ir-Regolament, analizzaw il-kostijiet u l-benefiċċji relatati potenzjali u talbu l-parir tal-Gruppi tal-Partijiet Ikkonċernati stabbilit f’konformità mal-Artikolu 37 tar-Regolamenti (UE) Nru 1093/2010 (3), (UE) Nru 1094/2010 (4), u (UE) Nru 1095/2010 (5) tal-Parlament Ewropew u tal-Kunsill.

(9)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (6) u ta opinjoni pożittiva fit-22 ta’ Lulju 2024. Kwalunkwe pproċessar ta’ data personali fil-kamp ta’ applikazzjoni ta’ dan ir-Regolament jenħtieġ li jitwettaq f’konformità mal-prinċipji u mad-dispożizzjonijiet applikabbli tal-protezzjoni tad-data tar-Regolament (UE) 2018/1725,