DELEGIRANA UREDBA KOMISIJE (EU) 2025/301 оd 23. listopada 2024. o dopuni Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu regulatornih tehničkih standarda kojima se utvrđuju sadržaj i rokovi za početnu obavijest, prijelazno i završno izvješće o značajnim IKT incidentima te sadržaj dobrovoljne obavijesti o ozbiljnim kiberprijetnjama (Tekst značajan za EGP)

(1)

Radi usklađivanja i pojednostavnjenja zahtjeva u pogledu obavješćivanja i izvješćivanja o značajnim IKT incidentima iz članka 19. stavka 4. Uredbe (EU) 2022/2554, rokovi za izvješćivanje o značajnim IKT incidentima trebali bi biti dosljedni za sve vrste financijskih subjekata. Zbog toga bi se u pogledu rokova u najvećoj mogućoj mjeri trebao primjenjivati pristup koji je usklađen sa i po učinku barem istovjetan zahtjevima utvrđenima u Direktivi (EU) 2022/2555 Europskog parlamenta i Vijeća (2).

(2)

Kako bi se izbjeglo nepotrebno opterećivanje financijskih subjekata zahtjevima za izvješćivanje u trenutku kad pokušavaju riješiti IKT incident, sadržaj početne obavijesti trebao bi biti ograničen na najvažnije informacije. Kako bi mogla poduzeti odgovarajuće nadzorne mjere, nadležna tijela trebaju dobiti informacije o značajnim IKT incidentima u najkraćem roku nakon što financijski subjekt klasificira IKT incident kao značajan. Stoga bi rok za dostavu početne obavijesti iz članka 19. stavka 4. točke (a) Uredbe (EU) 2022/2554 nakon klasifikacije IKT incidenta kao značajnog trebao biti što kraći, ali bi se istodobno trebala omogućiti određena fleksibilnost, posebno kad je riječ o poslovnim modelima usluga koji nisu osobito vremenski osjetljivi, u slučaju da financijskim subjektima zatreba više vremena za rješavanje IKT incidenta nakon što ga otkriju.

(3)

Nakon primitka početne obavijesti nadležna tijela trebala bi primiti prijelazno izvješće s detaljnijim informacijama o IKT incidentu i završno izvješće sa svim relevantnim informacijama. Informacije u tim izvješćima trebale bi nadležnim tijelima omogućiti da dodatno procijene IKT incident i razmotre nadzorne mjere koje bi možda trebalo poduzeti.

(4)

Rokovima za izvješćivanje iz članka 20. prvog stavka točke (a) podtočke ii. Uredbe (EU) 2022/2554 trebala bi se stoga postići ravnoteža između potrebe da nadležna tijela brzo dobiju informacije i potrebe da se financijskim subjektima osigura dovoljno vremena za prikupljanje potpunih i točnih informacija.

(5)

Uzimajući u obzir kriterije utvrđene u članku 20. prvom stavku točki (a) Uredbe (EU) 2022/2554, rokovi za izvješćivanje ne bi trebali predstavljati nerazmjerno opterećenje za mikropoduzeća i druge financijske subjekte koji nisu značajni. Osim toga, kako bi se izbjeglo nerazmjerno opterećenje za financijske subjekte, pri utvrđivanju rokova za izvješćivanje trebalo bi voditi računa o vikendima i neradnim danima.

(6)

Budući da se o ozbiljnim kiberprijetnjama izvješćuje dobrovoljno, sadržaj takvih obavijesti ne bi trebao opteretiti financijske subjekte te bi trebao biti ograničeniji od informacija koje se traže za značajne IKT incidente.

(7)

Ova se Uredba temelji na nacrtu regulatornih tehničkih standarda koji su Komisiji dostavila europska nadzorna tijela.

(8)

Europska nadzorna tijela provela su otvorena javna savjetovanja o nacrtu regulatornih tehničkih standarda na kojem se temelji ova Uredba, analizirala moguće povezane troškove i koristi te zatražila mišljenje interesnih skupina osnovanih u skladu s člankom 37. uredbi (EU) br. 1093/2010 (3), (EU) br. 1094/2010 (4) i (EU) br. 1095/2010 (5) Europskog parlamenta i Vijeća.

(9)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (6) te je on dao pozitivno mišljenje 22. srpnja 2024. Svaka obrada osobnih podataka obuhvaćena područjem primjene ove Uredbe trebala bi se provoditi u skladu s primjenjivim načelima i odredbama o zaštiti podataka utvrđenima u Uredbi (EU) 2018/1725,