NAŘÍZENÍ KOMISE V PŘENESENÉ PRAVOMOCI (EU) 2025/301 ze dne 23. října 2024, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o regulační technické normy, jež stanoví obsah a lhůty pro prvotní oznámení a průběžnou a závěrečnou zprávu o závažných incidentech souvisejících s IKT a obsah dobrovolného oznámení o významných kybernetických hrozbách (Text s významem pro EHP)

(1)

V zájmu zajištění harmonizace a zjednodušení požadavků na podávání oznámení a zpráv o závažných incidentech souvisejících s IKT podle čl. 19 odst. 4 nařízení (EU) 2022/2554 by lhůty pro hlášení závažných incidentů souvisejících s IKT měly být stanoveny tak, aby byl zachován jednotný přístup pro všechny druhy finančních subjektů. Z těchto důvodů by přístup ke stanovení uvedených lhůt měl být rovněž v co největším souladu s požadavky stanovenými ve směrnici Evropského parlamentu a Rady (EU) 2022/2555 (2), s nimiž by co do účinku měly být přinejmenším rovnocenné.

(2)

Aby se předešlo nepřiměřené zátěži spojené s podáváním zpráv pro finanční subjekty v době, kdy incident související s IKT řeší, měl by se obsah prvotního oznámení omezovat na nejpodstatnější informace. Mají-li příslušné orgány být schopny přijmout náležitá opatření v oblasti dohledu, musí obdržet informace o závažných incidentech souvisejících s IKT pokud možno co nejdříve poté, co finanční subjekt klasifikoval incident související s IKT jako závažný. Lhůta pro předložení prvotního oznámení podle čl. 19 odst. 4 písm. a) nařízení (EU) 2022/2554 poté, co byl incident související s IKT klasifikován jako závažný, by tedy měla být pokud možno co nejkratší, ale zároveň by měla umožňovat flexibilitu, zejména v případě obchodních modelů služeb, které nejsou časově nijak zvlášť časově kritické, pokud finanční subjekty potřebují na zpracování incidentu souvisejícího s IKT poté, co se o něm dozvěděly, více času.

(3)

Po obdržení prvotního oznámení by příslušné orgány měly obdržet podrobnější informace o incidentu souvisejícím s IKT v průběžné zprávě a veškeré relevantní informace v závěrečné zprávě. Informace obsažené v těchto zprávách by měly příslušným orgánům umožňovat další posouzení incidentu souvisejícího s IKT a vyhodnocení opatření v oblasti dohledu, která případně budou chtít přijmout.

(4)

Lhůty pro hlášení uvedené v čl. 20 prvním pododstavci písm. a) bodě ii) nařízení (EU) 2022/2554 by proto měly vyvažovat potřebu příslušných orgánů obdržet informace rychle a potřebu poskytnout finančním subjektům dostatek času na získání úplných a přesných informací.

(5)

S ohledem na kritéria stanovená v čl. 20 prvním pododstavci písm. a) nařízení (EU) 2022/2554 by lhůty pro hlášení neměly představovat nepřiměřenou zátěž pro mikropodniky a jiné finanční subjekty, které se nepovažují za významné. Aby se nadto zabránilo nepřiměřenému zatížení finančních subjektů, měly by lhůty pro hlášení brát v úvahu víkendy a státní svátky.

(6)

Vzhledem k tomu, že oznamování významných kybernetických hrozeb má být dobrovolné, neměl by obsah těchto oznámení představovat pro finanční subjekty zátěž a ve srovnání s informacemi požadovanými v případě závažných incidentů souvisejících s IKT by měl být omezenější.

(7)

Toto nařízení vychází z návrhů regulačních technických norem, které Komisi předložily evropské orgány dohledu.

(8)

O návrhu regulačních technických norem, z něhož toto nařízení vychází, vedly evropské orgány dohledu otevřené veřejné konzultace, analyzovaly potenciální související náklady a přínosy a požádaly o radu skupinu subjektů zřízenou v souladu s článkem 37 nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 (3), (EU) č. 1094/2010 (4) a (EU) č. 1095/2010 (5).

(9)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (6) byl konzultován evropský inspektor ochrany údajů, který vydal kladné stanovisko dne 22. července 2024. Jakékoli zpracování osobních údajů v oblasti působnosti tohoto nařízení by mělo být prováděno v souladu s platnými zásadami ochrany údajů a ustanoveními nařízení (EU) 2018/1725,