REGOLAMENT DELEGAT TAL-KUMMISSJONI (UE) 2024/1772 tat-13 ta’ Marzu 2024 li jissupplimenta r-Regolament (UE) 2022/2554 tal-Parlament Ewropew u tal-Kunsill fir-rigward ta’ standards tekniċi regolatorji li jispeċifikaw il-kriterji għall-klassifikazzjoni ta’ inċidenti relatati mal-ICT u theddid ċibernetiku, li jistabbilixxi livelli limitu ta’ materjalità u li jispeċifika d-dettalji tar-rapporti ta’ inċidenti kbar (Test b’relevanza għaż-ŻEE)

(1)

Ir-Regolament (UE) 2022/2554 għandu l-għan li jarmonizza u jissimplifika r-rekwiżiti ta’ rappurtar għal inċidenti relatati mal-ICT u għal inċidenti operazzjonali jew tas-sigurtà relatati ma’ pagamenti li jikkonċernaw istituzzjonijiet ta’ kreditu, istituzzjonijiet ta’ pagament, fornituri ta’ servizzi ta’ informazzjoni dwar il-kontijiet, u istituzzjonijiet tal-flus elettroniċi (“inċidenti”). Meta jitqies li r-rekwiżiti ta’ rappurtar ikopru 20 tip differenti ta’ entitajiet finanzjarji, jenħtieġ li l-kriterji ta’ klassifikazzjoni u l-livelli limitu ta’ materjalità għad-determinazzjoni ta’ inċidenti kbar u theddid ċibernetiku sinifikanti jiġu speċifikati b’mod sempliċi, armonizzat u konsistenti li jqis l-ispeċifiċitajiet tas-servizzi u l-attivitajiet tal-entitajiet finanzjarji rilevanti kollha.

(2)

Sabiex tiġi żgurata l-proporzjonalità, il-kriterji ta’ klassifikazzjoni u l-livelli limitu ta’ materjalità jenħtieġ li jirriflettu d-daqs u l-profil tar-riskju ġenerali, u n-natura, l-iskala u l-kumplessità tas-servizzi tal-entitajiet finanzjarji kollha. Barra minn hekk, jenħtieġ li l-kriterji u l-livelli limitu ta’ materjalità jitfasslu b’tali mod li japplikaw b’mod konsistenti għall-entitajiet finanzjarji kollha, irrispettivament mid-daqs u l-profil tar-riskju tagħhom, u li ma joħolqux piż ta’ rappurtar sproporzjonat għal entitajiet finanzjarji iżgħar. Madankollu, sabiex jiġu indirizzati sitwazzjonijiet fejn għadd sinifikanti ta’ klijenti jkunu affettwati minn inċident li bħala tali ma jaqbiżx il-livell limitu applikabbli, jenħtieġ li jiġi stabbilit livell limitu assolut li jkun prinċipalment immirat lejn entitajiet finanzjarji akbar.

(3)

Fir-rigward tal-oqfsa ta’ rappurtar tal-inċidenti, li kienu jeżistu qabel id-dħul fis-seħħ tar-Regolament (UE) 2022/2554, jenħtieġ li tiġi żgurata l-kontinwità għall-entitajiet finanzjarji. Għalhekk, il-kriterji ta’ klassifikazzjoni u l-livelli limitu ta’ materjalità jenħtieġ li jiġu allinjati mal-Linji Gwida tal-EBA dwar ir-rappurtar ta’ inċidenti kbar skont id-Direttiva (UE) 2015/2366 tal-Parlament Ewropew u tal-Kunsill (2), il-Linji Gwida dwar l-informazzjoni perjodika u n-notifika ta’ bidliet materjali li għandhom jiġu ppreżentati lill-ESMA mir-Repożitorji tat-Tranżazzjonijiet, il-Qafas ta’ Rappurtar ta’ Inċidenti Ċibernetiċi tal-BĊE/MSU u gwida rilevanti oħra u jkunu ispirati minnhom. Il-kriterji u l-limiti ta’ klassifikazzjoni jenħtieġ li jkunu xierqa wkoll għall-entitajiet finanzjarji li ma kinux soġġetti għal rekwiżiti ta’ rappurtar tal-inċidenti qabel ir-Regolament (UE) 2022/2554.

(4)

Fir-rigward tal-kriterju ta’ klassifikazzjoni “l-ammont jew l-għadd ta’ tranżazzjonijiet affettwati”, il-kunċett ta’ tranżazzjonijiet huwa wiesa’ u jkopri attivitajiet u servizzi differenti fl-atti settorjali applikabbli għall-entitajiet finanzjarji. Għall-finijiet ta’ dak il-kriterju ta’ klassifikazzjoni, jenħtieġ li t-tranżazzjonijiet ta’ pagament u l-forom kollha ta’ skambju ta’ strumenti finanzjarji, kriptoassi, komoditajiet, jew kwalunkwe assi ieħor, anki fil-forma ta’ marġni, kollateral jew wegħda, ikunu koperti kemm fil-konfront ta’ flus kontanti kif ukoll fil-konfront ta’ kwalunkwe assi ieħor. Jenħtieġ li t-tranżazzjonijiet kollha li jinvolvu assi li l-valur tagħhom jista’ jiġi espress f’ammont monetarju, jitqiesu għall-finijiet ta’ klassifikazzjoni.

(5)

Jenħtieġ li l-kriterji ta’ klassifikazzjoni jiżguraw li jinqabdu t-tipi rilevanti kollha ta’ inċidenti kbar. L-attakki ċibernetiċi relatati mal-intrużjoni fin-network jew fis-sistemi tal-informazzjoni mhux neċessarjament jinqabdu minn ħafna kriterji ta’ klassifikazzjoni. Madankollu, dawn huma importanti peress li kwalunkwe intrużjoni fin-network u fis-sistemi ta’ informazzjoni tista’ tikkawża ħsara lill-entità finanzjarja. Għaldaqstant, jenħtieġ li l-kriterji ta’ klassifikazzjoni “servizzi kritiċi affettwati” u “telf tad-data” jiġu speċifikati b’tali mod li jinqabdu dawn it-tipi ta’ inċidenti kbar, b’mod partikolari intrużjonijiet mhux awtorizzati li, anki jekk l-impatti ma jkunux magħrufa minnufih, jistgħu jwasslu għal konsegwenzi serji, b’mod partikolari ksur tad-data u rivelazzjonijiet tad-data.

(6)

Peress li l-istituzzjonijiet ta’ kreditu huma soġġetti kemm għall-qafas għall-klassifikazzjoni tal-inċidenti skont l-Artikolu 18 tar-Regolament (UE) 2022/2554 kif ukoll għall-qafas tar-riskju operazzjonali skont ir-Regolament Delegat tal-Kummissjoni (UE) 2018/959 (3), jenħtieġ li l-approċċ għall-valutazzjoni tal-impatt ekonomiku ta’ inċident ibbażat fuq il-kalkolu tal-kostijiet u t-telf, ikun kemm jista’ jkun konsistenti fiż-żewġ oqfsa biex tiġi evitata l-introduzzjoni ta’ rekwiżiti inkompatibbli jew kontradittorji.

(7)

Jenħtieġ li l-kriterju fir-rigward tal-firxa ġeografika ta’ inċident stabbilit fl-Artikolu 18(1), il-punt (c), tar-Regolament (UE) 2022/2554 jiffoka fuq l-impatt transfruntier tal-inċident, peress li l-impatt ta’ inċident fuq l-attivitajiet ta’ entità finanzjarja f’ġuriżdizzjoni unika se jinqabad mill-kriterji l-oħra stabbiliti f’dak l-Artikolu.

(8)

Minħabba li l-kriterji ta’ klassifikazzjoni huma interdipendenti u marbuta ma’ xulxin, jenħtieġ li l-approċċ għall-identifikazzjoni ta’ inċidenti kbar li għandhom jiġu rrapportati f’konformità mal-Artikolu 19(1) tar-Regolament (UE) 2022/2554 jkun ibbażat fuq taħlita ta’ kriterji, fejn jenħtieġ li xi kriterji li huma relatati mill-qrib mad-definizzjonijiet ta’ inċident relatat mal-ICT u inċident kbir relatat mal-ICT stabbiliti fl-Artikolu 3(8) u (10) tar-Regolament (UE) 2022/2554 jkollhom aktar prominenza fil-klassifikazzjoni ta’ inċidenti kbar minn kriterji oħra.

(9)

Bil-ħsieb li jiġi żgurat li r-rapporti u n-notifiki ta’ inċidenti kbar riċevuti mill-awtoritajiet kompetenti skont l-Artikolu 19(1) tar-Regolament (UE) 2022/2554 iservu kemm għal finijiet superviżorji kif ukoll għall-prevenzjoni ta’ kontaġju fis-settur finanzjarju kollu, jenħtieġ li l-livelli limitu ta’ materjalità jagħmlu l-qbid ta’ inċidenti kbar possibbli, billi jiffokaw, fost l-oħrajn, fuq l-impatt fuq is-servizzi kritiċi speċifiċi għall-entità, il-livelli limitu assoluti u relattivi speċifiċi tal-klijenti jew tal-kontropartijiet finanzjarji, it-tranżazzjonijiet li jindikaw impatt materjali fuq l-entità finanzjarja, u s-sinifikat tal-impatt fi Stati Membri oħra.

(10)

Jenħtieġ li l-inċidenti li jaffettwaw is-servizzi tal-ICT jew in-network u s-sistemi tal-informazzjoni li jappoġġaw funzjonijiet kritiċi jew importanti, jew servizzi finanzjarji li jeħtieġu awtorizzazzjoni jew aċċess malizzjuż mhux awtorizzat għan-network u għas-sistemi tal-informazzjoni li jappoġġaw funzjonijiet kritiċi jew importanti, jitqiesu bħala inċidenti li jaffettwaw is-servizzi kritiċi tal-entitajiet finanzjarji. Aċċess malizzjuż u mhux awtorizzat għan-network u għas-sistemi ta’ informazzjoni li jappoġġaw funzjonijiet kritiċi jew importanti tal-entitajiet finanzjarji, joħloq riskji serji għall-entità finanzjarja u, peress li jista’ jaffettwa entitajiet finanzjarji oħra, jenħtieġ li dejjem jitqies bħala inċident kbir li għandu jiġi rrappurtat.

(11)

Inċidenti rikorrenti li jkunu marbuta permezz ta’ kawża ewlenija apparenti simili, li individwalment ma jkunux inċidenti kbar, jistgħu jindikaw nuqqasijiet u dgħufijiet sinifikanti fil-proċeduri ta’ ġestjoni tal-inċidenti u tar-riskji tal-entità finanzjarja. Għalhekk, jenħtieġ li l-inċidenti rikorrenti jitqiesu bħala kollettivament kbar meta jseħħu ripetutament matul ċertu perjodu ta’ żmien.

(12)

Meta jitqies li t-theddid ċibernetiku jista’ jkollu impatt negattiv fuq l-entità u s-settur finanzjarju, it-theddid ċibernetiku sinifikanti li l-entitajiet finanzjarji jistgħu jippreżentaw jenħtieġ li jindika l-probabbiltà ta’ materjalizzazzjoni u l-kritikalità tal-impatt potenzjali. Għaldaqstant, biex tiġi żgurata valutazzjoni ċara u konsistenti tas-sinifikat tat-theddid ċibernetiku, jenħtieġ li l-klassifikazzjoni ta’ theddida ċibernetika bħala sinifikanti tkun dipendenti fuq il-probabbiltà li l-kriterji ta’ klassifikazzjoni għal inċidenti kbar u l-livell limitu tagħhom jiġu ssodisfati jekk it-theddida tkun immaterjalizzat, fuq it-tip ta’ theddida ċibernetika u fuq l-informazzjoni disponibbli għall-entità finanzjarja.

(13)

Meta jitqies li l-awtoritajiet kompetenti fi Stati Membri oħra għandhom jiġu nnotifikati b’inċidenti li jkollhom impatt fuq l-entitajiet finanzjarji u l-klijenti fil-ġuriżdizzjoni tagħhom, jenħtieġ li l-valutazzjoni tal-impatt f’ġuriżdizzjoni oħra f’konformità mal-Artikolu 19(7) tar-Regolament (UE) 2022/2554 tkun ibbażata fuq il-kawża ewlenija tal-inċident, fuq il-kontaġju potenzjali permezz ta’ fornituri terzi u fuq l-infrastrutturi tas-suq finanzjarju, kif ukoll fuq l-impatt tal-inċident fuq gruppi sinifikanti ta’ klijenti jew kontropartijiet finanzjarji.

(14)

Il-proċessi ta’ rappurtar u ta’ notifika msemmija fl-Artikolu 19(6) u (7) tar-Regolament (UE) 2022/2554 jenħtieġ li jippermettu lir-riċevituri rispettivi jivvalutaw l-impatt tal-inċidenti. Għalhekk, jenħtieġ li l-informazzjoni trażmessa tkopri d-dettalji kollha li jinsabu fir-rapporti tal-inċidenti ppreżentati mill-entità finanzjarja lill-awtorità kompetenti.

(15)

Meta inċident jikkostitwixxi ksur ta’ data personali skont ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill (4) u d-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill (5), jenħtieġ li dan ir-Regolament ma jaffettwax l-obbligi ta’ reġistrazzjoni u ta’ notifika għall-ksur ta’ data personali stabbiliti f’dawk il-liġijiet tal-Unjoni. Jenħtieġ li l-awtoritajiet kompetenti jikkooperaw u jiskambjaw informazzjoni dwar il-kwistjonijiet rilevanti kollha mal-awtoritajiet imsemmija fir-Regolament (UE) 2016/679 u d-Direttiva 2002/58/KE.

(16)

Dan ir-Regolament huwa bbażat fuq l-abbozz tal-istandards tekniċi regolatorji ppreżentat lill-Kummissjoni mill-Awtoritajiet Superviżorji Ewropej, f’konsultazzjoni mal-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (European Union Agency for Cybersecurity, ENISA) u l-Bank Ċentrali Ewropew (BĊE).

(17)

Il-Kumitat Konġunt tal-Awtoritajiet Superviżorji Ewropej imsemmi fl-Artikolu 54 tar-Regolament (UE) Nru 1093/2010 tal-Parlament Ewropew u tal-Kunsill (6), fl-Artikolu 54 tar-Regolament (UE) Nru 1094/2010 tal-Parlament Ewropew u tal-Kunsill (7) u fl-Artikolu 54 tar-Regolament (UE) Nru 1095/2010 tal-Parlament Ewropew u tal-Kunsill (8) wettaq konsultazzjonijiet pubbliċi miftuħa dwar l-abbozz ta’ standards tekniċi regolatorji li fuqhom huwa bbażat dan ir-Regolament, analizza l-kostijiet u l-benefiċċji potenzjali tal-istandards proposti u talab il-parir tal-Grupp tal-Partijiet Bankarji Interessati stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1093/2010, tal-Grupp tal-Partijiet Interessati tal-Oqsma tal-Assigurazzjoni u tar-Riassigurazzjoni u tal-Grupp tal-Partijiet Interessati tal-Qasam tal-Pensjonijiet tax-Xogħol stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1094/2010, u tal-Grupp tal-Partijiet Interessati tat-Titoli u s-Swieq stabbilit f’konformità mal-Artikolu 37 tar-Regolament (UE) Nru 1095/2010,

(18)

Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (9) u ta l-opinjoni tiegħu fl-24 ta’ Jannar 2024.