KOMISJONI RAKENDUSMÄÄRUS (EL) 2025/302, 23. oktoober 2024, millega kehtestatakse rakenduslikud tehnilised standardid Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2554 kohaldamiseks seoses standardvormide, -mallide ja -menetlustega, mida finantssektori ettevõtjad kasutavad tõsisest IKT intsidendist teavitamiseks ja olulisest küberohust teatamiseks (EMPs kohaldatav tekst)

(1)

Tagamaks, et finantssektori ettevõtjad teavitavad tõsistest intsidentidest oma pädevaid asutusi järjepideval viisil ning et nad esitavad neile asutustele kvaliteetsed andmed, tuleks täpsustada, millised andmeväljad peavad finantssektori ettevõtjad määruse (EL) 2022/2554 artikli 19 lõikes 4 osutatud teavitamise erinevates etappides esitama. On oluline, et teave esitataks viisil, mis võimaldab saada intsidendist ühtse ülevaate. Seetõttu on vaja kehtestada kõnealusel otstarbel ühtne aruandevorm.

(2)

Finantssektori ettevõtjad peaksid täitma aruandevormi need andmeväljad, mis vastavad vastava teate või raporti teabenõuetele. Kuid finantssektori ettevõtjad, kellel on juba teave, mille nad peavad esitama teavitamise hilisemas etapis, s.o vahe- või lõppraportis, peaksid saama need andmed varem esitada.

(3)

Kuna mitut intsidenti või korduvaid intsidente võidakse käsitleda komisjoni delegeeritud määruse (EL) 2024/1772 (2) artiklis 8 viidatud tõsise intsidendina, peaks aruandevormi ja andmeväljade ülesehitus võimaldama finantssektori ettevõtjatel sellistest korduvatest intsidentidest teatada.

(4)

Täpse ja ajakohase teabe tagamiseks peaks aruandevorm võimaldama finantssektori ettevõtjatel ajakohastada vahe- ja lõppraporti esitamise ajal mis tahes varem esitatud teavet ja vajaduse korral liigitada tõsised intsidendid ümber mittetõsisteks.

(5)

Üksuste juriidiline identifitseerimine tuleks viia vastavusse tunnustega, mis on täpsustatud määruse (EL) 2022/2554 artikli 28 lõike 9 kohaselt vastu võetud rakenduslikes tehnilistes standardites.

(6)

Kui finantssektori ettevõtjad annavad tõsisest IKT intsidendist teavitamise kohustuse edasi kolmandale isikule, siis peaksid pädevad asutused olema finantssektori ettevõtja nimel teavitava kolmanda isiku identiteediga kursis enne esimese teate või raporti esitamist, et kontrollida teavitava kolmanda isiku õiguspärasust.

(7)

Selleks et teha kergesti kindlaks kolmandast isikust teenuseosutaja juures toimunud või tema põhjustatud ja ühes liikmesriigis mitut finantssektori ettevõtjat mõjutava intsidendi mõju ning et vähendada finantssektori ettevõtjate teavitamiskoormust, peaks teavitamisvorm võimaldama koondraporti/-teate esitamist, mis hõlmab koondteavet intsidendi mõju kohta kõigile mõjutatud finantssektori ettevõtjatele, kes on liigitanud intsidendi tõsiseks intsidendiks.

(8)

Teavitamisvorm tuleks kujundada tehnoloogianeutraalsel viisil, et seda saaks kasutada erinevate intsidentidest teavitamise lahendustega, mis on juba olemas või mis võidakse määruse (EL) 2022/2554 nõuete rakendamiseks välja töötada.

(9)

Teavitamisvormi ja andmeväljade kujundus peaks võimaldama teatada tõsistest IKT intsidentidest kolmandatel isikutel, kellele finantssektori ettevõtjad on andnud edasi oma teavitamiskohustuse kooskõlas määruse (EL) 2022/2554 artikli 19 lõikega 5.

(10)

Käesolev määrus põhineb Euroopa järelevalveasutuste poolt komisjonile esitatud rakenduslike tehniliste standardite eelnõul.

(11)

Euroopa järelevalveasutused on korraldanud käesoleva määruse aluseks oleva rakenduslike tehniliste standardite eelnõu kohta avalikud konsultatsioonid, analüüsinud võimalikku asjaomast kulu ja kasu ning küsinud nõu Euroopa Parlamendi ja nõukogu määruste (EL) nr 1093/2010, (3) (EL) nr 1094/2010 (4) ja (EL) nr 1095/2010 (5) artikli 37 kohaselt loodud pangandussektori sidusrühmade kogult.

(12)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (6) artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma positiivse arvamuse 22. juulil 2024. Mis tahes isikuandmete töötlemine käesoleva määruse raames peaks toimuma kooskõlas määruse (EL) 2018/1725 alusel kohaldatavate andmekaitsealaste põhimõtete ja sätetega,