KOMMISSIONENS GENNEMFØRELSESFORORDNING (EU) 2025/302 af 23. oktober 2024 om gennemførelsesmæssige tekniske standarder for anvendelsen af Europa-Parlamentets og Rådets forordning (EU) 2022/2554 for så vidt angår de standardformularer, -modeller og -procedurer, som de finansielle enheder skal bruge til indberetning af en større IKT-relateret hændelse og til underretning om en væsentlig cybertrussel (EØS-relevant tekst)

(1)

For at sikre, at finansielle enheder indberetter større hændelser til deres kompetente myndigheder på en konsekvent måde og for at sikre, at de forelægger disse myndigheder data af god kvalitet bør det præciseres, hvilke datafelter finansielle enheder skal udfylde i de forskellige faser af den indberetning, der er omhandlet i artikel 19, stk. 4, i forordning (EU) 2022/2554. Det er vigtigt, at disse oplysninger forelægges på en måde, der kan give et samlet overblik over hændelsen. Det er derfor nødvendigt at fastlægge en fælles indberetningsmodel til dette formål.

(2)

Finansielle enheder bør udfylde de datafelter i indberetningsmodellen, som svarer til oplysningskravene i den respektive underretning eller rapport. Finansielle enheder, som allerede råder over oplysninger, som de skal forelægge på et senere indberetningsstadie, dvs. i den foreløbige eller endelige rapport, bør dog have mulighed for at forelægge dataene på forhånd.

(3)

Idet flere eller tilbagevendende hændelser kan udgøre en større hændelse, jf. artikel 8 i Kommissionens delegerede forordning (EU) 2024/1772 (2), bør udformningen af indberetningsmodellen og datafelterne give finansielle enheder mulighed for at indberette sådanne tilbagevendende hændelser.

(4)

For at sikre, at oplysningerne er nøjagtige og ajourførte bør indberetningsmodellen give finansielle enheder mulighed for, når de indgiver den foreløbige og endelige rapport, at ajourføre eventuelle oplysninger, som blev forelagt tidligere, og om nødvendigt at omklassificere større hændelser til »mindre«.

(5)

Enheders juridiske identifikation bør tilpasses til de identifikatorer, der er angivet i de gennemførelsesmæssige tekniske standarder, der er vedtaget i medfør af artikel 28, stk. 9, i forordning (EU) 2022/2554.

(6)

Hvis finansielle enheder outsourcer opfyldelsen af indberetningsforpligtelserne vedrørende større IKT-relaterede hændelser til en tredjepart, bør de kompetente myndigheder have kendskab til identiteten af den tredjepart, som indberetter på den finansielle enheds vegne, forud for indgivelsen af den første underretning eller rapport, således at denne kan kontrollere den indberettende tredjeparts legitimitet.

(7)

For at en hændelse, der indtraf hos eller blev forårsaget af en tredjepartsudbyder, og som berører flere finansielle enheder i samme medlemsstat, nemt kan identificeres, og for at reducere indberetningsindsatsen for finansielle enheder bør indberetningsmodellen give mulighed for at indgive en samlet rapport, som indeholder de samlede oplysninger om hændelsens virkninger for alle berørte finansielle enheder, der har klassificeret hændelsen som en større hændelse.

(8)

Indberetningsmodellen bør udformes på en teknologineutral måde, således at den kan anvendes i forskellige løsninger til hændelsesindberetning, som allerede findes, eller som eventuelt bliver udviklet med henblik på gennemførelsen af kravene i forordning (EU) 2022/2554.

(9)

Udformningen af indberetningsmodellen og datafelterne bør gøre det lettere for tredjeparter, til hvem finansielle enheder har outsourcet opfyldelsen af deres indberetningsforpligtelse i overensstemmelse med artikel 19, stk. 5, i forordning (EU) 2022/2554, at indberette større IKT-relaterede hændelser.

(10)

Denne forordning er baseret på det udkast til gennemførelsesmæssige tekniske standarder, som ESA'erne har forelagt for Kommissionen.

(11)

De europæiske tilsynsmyndigheder har gennemført åbne offentlige høringer om det udkast til gennemførelsesmæssige tekniske standarder, som ligger til grund for nærværende forordning, analyseret de potentielle omkostninger og fordele samt anmodet om rådgivning fra interessentgruppen for banker, som er nedsat i henhold til artikel 37 i Europa-Parlamentets og Rådets forordning (EU) nr. 1093/2010 (3), (EU) nr. 1094/2010 (4), (EU) nr. 1095/2010 (5).

(12)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (6) og afgav en positiv udtalelse den 22. juli 2024. Behandling af personoplysninger inden for rammerne af nærværende forordning bør ske i overensstemmelse med de gældende databeskyttelsesprincipper og bestemmelserne i forordning (EU) 2018/1725 —