KOMISSION DELEGOITU ASETUS (EU) 2025/301, annettu 23 päivänä lokakuuta 2024, Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 täydentämisestä laajavaikutteisia TVT:hen liittyviä poikkeamia koskevan alustavan ilmoituksen ja väli- ja loppuraportin sisältöä ja määräaikoja sekä merkittäviä kyberuhkia koskevan vapaaehtoisen ilmoituksen sisältöä täsmentävillä teknisillä sääntelystandardeilla (ETA:n kannalta merkityksellinen teksti)

(1)

Jotta voidaan varmistaa asetuksen (EU) 2022/2554 19 artiklan 4 kohdassa tarkoitettujen laajavaikutteisten tieto- ja viestintätekniikkaan (TVT) liittyvien poikkeamien ilmoitus- ja raportointivaatimusten yhdenmukaistaminen ja yksinkertaistaminen, laajavaikutteisista TVT:hen liittyvistä poikkeamista raportoimisen määräaikojen olisi oltava johdonmukaisia kaikentyyppisille finanssiyhteisöille. Näistä syistä määräaikojen olisi myös mahdollisimman suuressa määrin noudatettava johdonmukaista lähestymistapaa Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 (2) vahvistettujen vaatimusten kanssa ja oltava ainakin vaikutukseltaan niitä vastaavia.

(2)

Jotta finanssiyhteisöille ei aiheutuisi kohtuutonta raportointirasitetta samaan aikaan, kun ne käsittelevät TVT:hen liittyvää poikkeamaa, alustavan ilmoituksen sisältö olisi rajattava merkityksellisimpiin tietoihin. Jotta toimivaltaiset viranomaiset voivat toteuttaa asianmukaiset valvontatoimet, niiden on saatava tiedot laajavaikutteisista TVT:hen liittyvistä poikkeamista mahdollisimman pian sen jälkeen, kun finanssiyhteisö on luokitellut TVT:hen liittyvän poikkeaman laajavaikutteiseksi. Asetuksen (EU) 2022/2554 19 artiklan 4 kohdan a alakohdassa tarkoitetun alustavan ilmoituksen toimittamisen määräajan olisi siksi oltava mahdollisimman lyhyt sen jälkeen, kun TVT:hen liittyvä poikkeama on luokiteltu laajavaikutteiseksi, mutta samalla olisi kuitenkin sallittava joustoa erityisesti sellaisten palveluliiketoimintamallien kohdalla, jotka eivät ole erityisen aikakriittisiä, jos finanssiyhteisöt tarvitsevat enemmän aikaa TVT:hen liittyvän poikkeaman käsittelyyn sen ilmenemisen jälkeen.

(3)

Alustavan ilmoituksen vastaanottamisen jälkeen toimivaltaisten viranomaisten olisi saatava TVT:hen liittyvästä poikkeamasta yksityiskohtaisempia tietoja väliraportissa ja kaikki merkitykselliset tiedot loppuraportissa. Näissä raporteissa olevien tietojen perusteella toimivaltaisten viranomaisten olisi voitava arvioida tarkemmin TVT:hen liittyvää poikkeamaa ja valvontatoimia, joita ne mahdollisesti haluavat toteuttaa.

(4)

Asetuksen (EU) 2022/2554 20 artiklan ensimmäisen kohdan a alakohdan ii alakohdassa tarkoitetuissa raportoinnin määräajoissa olisi sen vuoksi tasapainotettava toimivaltaisten viranomaisten tarve saada tiedot nopeasti ja tarve antaa finanssiyhteisöille riittävästi aikaa täydellisten ja tarkkojen tietojen hankkimiseen.

(5)

Kun otetaan huomioon asetuksen (EU) 2022/2554 20 artiklan ensimmäisen kohdan a alakohdassa säädetyt kriteerit, raportoinnin määräajat eivät saisi aiheuttaa kohtuutonta rasitetta mikroyrityksille ja muille kuin merkittäväksi luokitelluille finanssiyhteisöille. Jotta finanssiyhteisöille ei aiheutuisi kohtuutonta vaivaa, raportoinnin määräajoissa olisi lisäksi otettava huomioon viikonloput ja yleiset vapaapäivät.

(6)

Koska merkittävistä kyberuhkista ilmoitetaan vapaaehtoisesti, tällaisten ilmoitusten sisältö ei saisi aiheuttaa rasitetta finanssiyhteisöille ja sen olisi oltava laajavaikutteisista TVT:hen liittyvistä poikkeamista pyydettyjä tietoja rajoitetumpi.

(7)

Tämä asetus perustuu teknisten sääntelystandardien luonnoksiin, jotka Euroopan valvontaviranomaiset ovat toimittaneet komissiolle.

(8)

Euroopan valvontaviranomaiset ovat järjestäneet avoimet julkiset kuulemiset tämän asetuksen perustana olevista teknisten sääntelystandardien luonnoksista, analysoineet niihin mahdollisesti liittyviä kustannuksia ja hyötyjä sekä pyytäneet neuvoa Euroopan parlamentin ja neuvoston asetusten (EU) N:o 1093/2010 (3), (EU) N:o 1094/2010 (4) ja (EU) N:o 1095/2010 (5) 37 artiklan mukaisesti perustetuilta osallisryhmiltä.

(9)

Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (6) 42 artiklan 1 kohdan mukaisesti, ja hän on antanut myönteisen lausunnon 22 päivänä heinäkuuta 2024. Kaikessa tämän asetuksen soveltamisalaan kuuluvassa henkilötietojen käsittelyssä olisi noudatettava asetuksessa (EU) 2018/1725 vahvistettuja sovellettavia tietosuojaperiaatteita ja -säännöksiä,