1. Een derde dienstverlener aan wie rapportageverplichtingen zijn uitbesteed als bedoeld in artikel 19, lid 5, van Verordening (EU) 2022/2554, kan het model in bijlage I bij deze verordening gebruiken om geaggregeerde informatie over een ernstig ICT-gerelateerd incident dat gevolgen heeft voor meerdere financiële entiteiten, in één kennisgeving of verslag te verstrekken, en kan die kennisgeving of dat verslag indienen bij de bevoegde autoriteit namens alle geraakte financiële entiteiten, mits aan elk van de volgende voorwaarden is voldaan:
|
a)
|
het te rapporteren ernstige ICT-gerelateerde incident ontstond bij of werd veroorzaakt door een derde aanbieder van ICT-diensten;
|
|
b)
|
die derde dienstverlener verleent de betrokken ICT-dienst aan meer dan één financiële entiteit of aan een groep;
|
|
c)
|
het ICT-gerelateerde incident wordt door elke financiële entiteit die in de geaggregeerde kennisgeving of het geaggregeerde verslag wordt behandeld, als ernstig geclassificeerd;
|
|
d)
|
het ernstige ICT-gerelateerde incident treft financiële entiteiten binnen één lidstaat en het geaggregeerde verslag heeft betrekking op financiële entiteiten die onder toezicht staan van dezelfde bevoegde autoriteit;
|
|
e)
|
de bevoegde autoriteiten hebben deze soort financiële entiteiten uitdrukkelijk toegestaan hun rapportage te aggregeren.
|