KOMISIJAS DELEĢĒTĀ REGULA (ES) 2025/301 (2024. gada 23. oktobris), ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, kuros precizē sākotnējā paziņojuma, starpposma ziņojuma un gala ziņojuma par būtiskiem ar IKT saistītiem incidentiem, kā arī brīvprātīgā paziņojuma par būtiskiem kiberdraudiem saturu un termiņus (Dokuments attiecas uz EEZ)

(1)

Lai nodrošinātu Regulas (ES) 2022/2554 19. panta 4. punktā minēto paziņošanas un ziņošanas prasību saskaņošanu un vienkāršošanu attiecībā uz būtiskiem ar IKT saistītiem incidentiem, nosakot termiņus, kuros jāziņo par būtiskiem ar IKT saistītiem incidentiem, būtu jāievēro saskaņota pieeja attiecībā uz visu veidu finanšu vienībām. Šo iemeslu dēļ, nosakot termiņus, pēc iespējas būtu arī jāievēro pieeja, kas ir saskaņota ar Eiropas Parlamenta un Padomes Direktīvā (ES) 2022/2555 (2) noteiktajām prasībām un iznākuma ziņā vismaz līdzvērtīga tām.

(2)

Lai izvairītos no nepamatota ziņošanas sloga uzlikšanas finanšu vienībām laikā, kad tās risina ar IKT saistīto incidentu, sākotnējā paziņojuma saturā būtu jāiekļauj tikai vissvarīgākā informācija. Lai varētu veikt pienācīgus uzraudzības pasākumus, kompetentajām iestādēm informācija par būtiskiem ar IKT saistītiem incidentiem būtu jāsaņem pēc iespējas ātrāk pēc tam, kad finanšu vienība ar IKT saistītu incidentu ir klasificējusi kā būtisku. Tāpēc Regulas (ES) 2022/2554 19. panta 4. punkta a) apakšpunktā minētajam sākotnējā paziņojuma iesniegšanas termiņam vajadzētu būt pēc iespējas īsākam pēc tam, kad ar IKT saistīts incidents ir klasificēts kā būtisks, vienlaikus nodrošinot elastību, jo īpaši attiecībā uz pakalpojumu darījumdarbības modeļiem, kas nav īpaši svarīgi laikā, ja finanšu vienībām ir vajadzīgs vairāk laika, lai risinātu ar IKT saistīto incidentu pēc tam, kad tas kļuvis zināms.

(3)

Pēc sākotnējā paziņojuma saņemšanas kompetentajām iestādēm starpposma ziņojumā būtu jāsaņem sīkāka informācija par incidentu, kas saistīts ar IKT, un gala ziņojumā – visa attiecīgā informācija. Minētajos ziņojumos sniegtajai informācijai būtu jāļauj kompetentajām iestādēm detalizētāk novērtēt ar IKT saistīto incidentu un izvērtēt uzraudzības darbības, ko tās varētu vēlēties veikt.

(4)

Tāpēc Regulas (ES) 2022/2554 20. panta pirmās daļas a) punkta ii) apakšpunktā minētajiem ziņošanas termiņiem būtu jālīdzsvaro nepieciešamība kompetentajām iestādēm ātri saņemt informāciju un nepieciešamība finanšu vienībām nodrošināt pietiekami daudz laika pilnīgas un precīzas informācijas iegūšanai.

(5)

Ņemot vērā Regulas (ES) 2022/2554 20. panta pirmās daļas a) punktā noteiktos kritērijus, ziņošanas termiņiem nevajadzētu radīt nesamērīgu slogu mikrouzņēmumiem un citām finanšu vienībām, kas nav klasificētas kā nozīmīgas. Turklāt, lai izvairītos no nesamērīga sloga finanšu vienībām, ziņošanas termiņos būtu jāņem vērā nedēļas nogales un svētku dienas.

(6)

Tā kā ziņošana par būtiskiem kiberdraudiem ir brīvprātīga, šādu paziņojumu saturam nevajadzētu radīt slogu finanšu vienībām, un tam vajadzētu būt ierobežotākam nekā informācijai, kas pieprasīta par būtiskiem ar IKT saistītiem incidentiem.

(7)

Šīs regulas pamatā ir regulatīvo tehnisko standartu projekts, ko Komisijai iesniegušas Eiropas uzraudzības iestādes.

(8)

Eiropas uzraudzības iestādes ir veikušas atklātu sabiedrisko apspriešanu par regulatīvo tehnisko standartu projektu, kas ir šīs regulas pamatā, izvērtējušas potenciālās saistītās izmaksas un ieguvumus un pieprasījušas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (3), (ES) Nr. 1094/2010 (4) un (ES) Nr. 1095/2010 (5) 37. pantu izveidoto ieinteresēto personu grupu konsultāciju.

(9)

Notika apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju (EDAU) saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (6) 42. panta 1. punktu, un EDAU 2024. gada 22. jūlijā sniedza pozitīvu atzinumu. Jebkāda personas datu apstrāde, kas ietilpst šīs regulas darbības jomā, būtu jāveic saskaņā ar piemērojamajiem datu aizsardzības principiem un noteikumiem, kas izklāstīti Regulā (ES) 2018/1725,