REGULAMENTO DELEGADO (UE) 2025/301 DA COMISSÃO de 23 de outubro de 2024 que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam o conteúdo e os prazos para a notificação inicial e os relatórios intercalar e final sobre incidentes de caráter severo relacionados com as TIC, bem como o conteúdo da notificação voluntária de ciberameaças significativas (Texto relevante para efeitos do EEE)

(1)

A fim de assegurar a harmonização e a simplificação dos requisitos de notificação e comunicação de incidentes de caráter severo relacionados com as TIC a que se refere o artigo 19.o, n.o 4, do Regulamento (UE) 2022/2554, os prazos para a notificação de incidentes de caráter severo relacionados com as TIC deverão seguir uma abordagem coerente para todos os tipos de entidades financeiras. Por estas razões, os prazos também deverão seguir, tanto quanto possível, uma abordagem coerente com os requisitos estabelecidos na Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (2) e ter um efeito pelo menos equivalente aos mesmos.

(2)

A fim de evitar a imposição de encargos de comunicação indevidos às entidades financeiras no momento em que estas lidam com o incidente relacionado com as TIC, o conteúdo da notificação inicial deverá limitar-se às informações mais significativas. Para poderem tomar medidas de supervisão adequadas, as autoridades competentes devem receber informações sobre os incidentes de caráter severo relacionados com as TIC o mais rapidamente possível após a entidade financeira ter estabelecido essa classificação. Por conseguinte, o prazo para a apresentação de uma notificação inicial a que se refere o artigo 19.o, n.o 4, alínea a), do Regulamento (UE) 2022/2554 deverá ser o mais curto possível após a classificação de um incidente relacionado com as TIC como sendo de caráter severo, sem deixar de permitir flexibilidade, especialmente para modelos de negócio de serviços que não sejam particularmente críticos em termos de urgência, caso as entidades financeiras necessitem de mais tempo para tratar o incidente relacionado com as TIC após terem tomado conhecimento do mesmo.

(3)

Após receberem a notificação inicial, as autoridades competentes deverão receber informações mais pormenorizadas sobre o incidente relacionado com as TIC no relatório intercalar e todas as informações pertinentes no relatório final. As informações constantes desses relatórios deverão permitir às autoridades competentes avaliar mais aprofundadamente o incidente relacionado com as TIC, bem como as medidas de supervisão que possam querer tomar.

(4)

Os prazos de comunicação a que se refere o artigo 20.o, primeiro parágrafo, alínea a), subalínea ii), do Regulamento (UE) 2022/2554 deverão, por conseguinte, equilibrar a necessidade de as autoridades competentes receberem rapidamente as informações com a necessidade de proporcionar às entidades financeiras tempo suficiente para obterem informações completas e exatas.

(5)

Tendo em conta os critérios estabelecidos no artigo 20.o, primeiro parágrafo, alínea a), do Regulamento (UE) 2022/2554, os prazos de comunicação não devem representar um encargo desproporcionado para as microempresas e outras entidades financeiras que não sejam significativas. Por outro lado, a fim de evitar encargos desproporcionados para as entidades financeiras, os prazos de comunicação deverão ter em conta os fins de semana e os feriados.

(6)

Uma vez que as ciberameaças significativas devem ser notificadas numa base voluntária, o conteúdo dessas notificações não deverá impor encargos às entidades financeiras e deverá ser mais limitado do que as informações solicitadas para incidentes de caráter severo relacionados com as TIC.

(7)

O presente regulamento baseia-se nos projetos de normas técnicas de regulamentação apresentados à Comissão pelas Autoridades Europeias de Supervisão.

(8)

As Autoridades Europeias de Supervisão realizaram consultas públicas abertas sobre os projetos de normas técnicas de regulamentação em que se baseia o presente regulamento, analisaram os potenciais custos e benefícios associados e solicitaram o parecer dos Grupos de Partes Interessadas criados em conformidade com o artigo 37.o dos Regulamentos (UE) n.o 1093/2010 (3), (UE) n.o 1094/2010 (4) e (UE) n.o 1095/2010 (5) do Parlamento Europeu e do Conselho.

(9)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (6) e emitiu parecer positivo em 22 de julho de 2024. Qualquer tratamento de dados pessoais abrangido pelo âmbito de aplicação do presente regulamento deverá ser efetuado em conformidade com os princípios e disposições aplicáveis em matéria de proteção de dados constantes do Regulamento (UE) 2018/1725,