KOMISIJAS DELEĢĒTĀ REGULA (ES) 2024/1772 (2024. gada 13. marts), ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, kuros precizēti kritēriji ar IKT saistītu incidentu un kiberdraudu klasifikācijai, nosakot būtiskuma robežvērtības un precizējot sīkāku informāciju, kas ietverama ziņojumos par būtiskiem incidentiem (Dokuments attiecas uz EEZ)

(1)

Ņemot vērā to, ka Regulas (ES) 2022/2554 mērķis ir saskaņot un racionalizēt prasības ar IKT saistītu incidentu un ar maksājumiem saistītu darbības vai drošības incidentu paziņošanai, kas skar kredītiestādes, maksājumu iestādes, konta informācijas pakalpojumu sniedzējus un elektroniskās naudas iestādes (“incidenti”). Ņemot vērā to, ka ziņošanas prasības attiecas uz 20 dažādiem finanšu vienību veidiem, klasifikācijas kritēriji un būtiskuma robežvērtības būtisku incidentu un būtisku kiberdraudu noteikšanai būtu jāprecizē vienkāršā, saskaņotā un konsekventā veidā, ņemot vērā visu attiecīgo finanšu vienību pakalpojumu un darbību specifiku.

(2)

Lai nodrošinātu proporcionalitāti, klasifikācijas kritērijiem un būtiskuma robežvērtībām būtu jāatspoguļo visu finanšu vienību lielums un vispārējais riska profils, kā arī pakalpojumu veids, mērogs un sarežģītība. Turklāt kritēriji un būtiskuma robežvērtības būtu jāizstrādā tā, lai tie vienādi attiektos uz visām finanšu vienībām neatkarīgi no to lieluma un riska profila un neradītu nesamērīgu ziņošanas slogu mazākām finanšu vienībām. Tomēr, lai risinātu situācijas, kad incidents ietekmē ievērojamu skaitu klientu, bet kas nepārsniedz piemērojamo robežvērtību, būtu jānosaka absolūta robežvērtība, kas galvenokārt vērsta uz lielākām finanšu vienībām.

(3)

Attiecībā uz incidentu ziņošanas sistēmām, kas pastāvēja pirms Regulas (ES) 2022/2554 stāšanās spēkā, būtu jānodrošina finanšu vienību darbības nepārtrauktība. Tāpēc klasifikācijas kritēriji un būtiskuma robežvērtības būtu jāsaskaņo ar EBI pamatnostādnēm par ziņošanu par būtiskiem incidentiem saskaņā ar Eiropas Parlamenta un Padomes Direktīvu (ES) 2015/2366 (2), Pamatnostādnēm par periodisku informāciju un būtisku izmaiņu paziņošanu, kas darījumu reģistriem jāsniedz EVTI, ECB/VUM kiberincidentu ziņošanas sistēmu un citiem būtiskiem norādījumiem. Klasifikācijas kritērijiem un būtiskuma robežvērtībām vajadzētu būt piemērotām arī tādām finanšu vienībām, uz kurām pirms Regulas (ES) 2022/2554 stāšanās spēkā neattiecās ziņošanas prasības par incidentiem.

(4)

Attiecībā uz klasifikācijas kritēriju “skarto darījumu apjoms un skaits” darījumu jēdziens ir plašs un aptver dažādas darbības un pakalpojumus visos finanšu vienībām piemērojamajos nozaru tiesību aktos. Minētā klasifikācijas kritērija nolūkā būtu jāaptver maksājumu darījumi un visu veidu apmaiņa ar finanšu instrumentiem, kriptoaktīviem, precēm vai jebkuriem citiem aktīviem, tostarp drošības rezerves, nodrošinājuma vai ķīlas veidā gan pret naudu, gan pret jebkuru citu aktīvu. Klasifikācijas nolūkā būtu jāņem vērā visi darījumi, kas ietver aktīvus, kuru vērtību var izteikt naudas summā.

(5)

Klasifikācijas kritērijiem būtu jānodrošina, ka tiek aptverti visi attiecīgie būtisku incidentu veidi. Kiberuzbrukumi, kas saistīti ar ielaušanos tīklos vai informācijas sistēmās, var nebūt ietverti daudzos klasifikācijas kritērijos. Tomēr tie ir svarīgi, jo jebkāda ielaušanās tīklu un informācijas sistēmās var kaitēt finanšu vienībai. Tādēļ klasifikācijas kritēriji “skartie kritiskie pakalpojumi” un “datu zudumi” būtu jāprecizē tā, lai aptvertu šāda veida būtiskus incidentus, jo īpaši neatļautu ielaušanos, kas, pat ja ietekme nav uzreiz zināma, var radīt nopietnas sekas, jo īpaši datu aizsardzības pārkāpumus un datu noplūdi.

(6)

Tā kā uz kredītiestādēm attiecas gan Regulas (ES) 2022/2554 18. pantā izklāstītā incidentu klasifikācijas sistēma, gan operacionālā riska regulējums saskaņā ar Komisijas Deleģēto regulu (ES) 2018/959 (3), pieejai incidenta ekonomiskās ietekmes novērtēšanai, kuras pamatā ir izmaksu un zaudējumu aprēķins, vajadzētu būt pēc iespējas konsekventākai abos regulējumos, lai izvairītos no nesaderīgu vai pretrunīgu prasību ieviešanas.

(7)

Regulas (ES) 2022/2554 18. panta 1. punkta c) apakšpunktā izklāstītajam kritērijam attiecībā uz incidenta ģeogrāfisko izplatību būtu jākoncentrējas uz incidenta pārrobežu ietekmi, jo incidenta ietekme uz finanšu vienības darbībām vienā jurisdikcijā tiks aptverta ar citiem minētajā pantā izklāstītajiem kritērijiem.

(8)

Ņemot vērā to, ka klasifikācijas kritēriji ir savstarpēji atkarīgi un savstarpēji saistīti, pieeja tādu būtisku incidentu identificēšanai, par kuriem jāziņo saskaņā ar Regulas (ES) 2022/2554 19. panta 1. punktu, būtu jābalsta uz kritēriju kombināciju, kurā dažiem kritērijiem, kas ir cieši saistīti ar Regulas (ES) 2022/2554 3. panta 8. un 10. punktā izklāstītajām ar IKT saistīta incidenta un būtiska ar IKT saistīta incidenta definīcijām, vajadzētu būt lielākai nozīmei būtisku incidentu klasifikācijā nekā citiem.

(9)

Lai nodrošinātu, ka ziņojumi un paziņojumi par būtiskiem incidentiem, ko kompetentās iestādes saņēmušas saskaņā ar Regulas (ES) 2022/2554 19. panta 1. punktu, kalpo gan uzraudzības mērķiem, gan kaitīgas ietekmes izplatīšanās novēršanai visā finanšu nozarē, būtiskuma robežvērtībām būtu jāļauj aptvert būtiskus incidentus, cita starpā koncentrējoties uz ietekmi uz vienībai specifiskiem kritiskiem pakalpojumiem, konkrētām absolūtām un relatīvām klientu vai finanšu partneru robežvērtībām, darījumiem, kas norāda uz būtisku ietekmi uz finanšu vienību, un ietekmes būtiskumu citās dalībvalstīs.

(10)

Incidenti, kas ietekmē tādus IKT pakalpojumus vai tīklu un informācijas sistēmas, ar ko atbalsta kritiski svarīgas vai svarīgas funkcijas, vai finanšu pakalpojumus, uz kuriem attiecas prasība saņemt atļauju, vai ļaunprātīga neatļauta piekļuve tīklu un informācijas sistēmām, ar ko atbalsta kritiski svarīgas vai svarīgas funkcijas, būtu jāuzskata par incidentiem, kas ietekmē finanšu vienību kritiski svarīgos pakalpojumus. Ļaunprātīga, neatļauta piekļuve tīklu un informācijas sistēmām, ar ko atbalsta finanšu vienību kritiski svarīgas vai svarīgas funkcijas, rada nopietnus riskus finanšu vienībai un var ietekmēt citas finanšu vienības, tāpēc tā vienmēr būtu jāuzskata par būtisku incidentu, par kuru ir jāziņo.

(11)

Daudzkārtēji incidenti, kas ir saistīti ar līdzīgu acīmredzamu pamatcēloni un kas atsevišķi netiek uzskatīti par būtiskiem incidentiem, var norādīt uz būtiskiem trūkumiem un nepilnībām finanšu vienības incidenta un riska pārvaldības procedūrās. Tāpēc daudzkārtēji incidenti kopā būtu jāuzskata par būtiskiem, ja tie atkārtojas noteiktā laikposmā.

(12)

Ņemot vērā to, ka kiberdraudiem var būt negatīva ietekme uz finanšu vienību un nozari, finanšu vienībām, ziņojot par būtiskajiem kiberdraudiem, būtu jānorāda uz īstenošanās iespējamību un iespējamās ietekmes kritiskumu. Attiecīgi, lai nodrošinātu skaidru un konsekventu novērtējumu par kiberdraudu nozīmīgumu, kiberdrauda klasificēšanai par būtisku vajadzētu būt atkarīgai no iespējamības, ka, ja apdraudējums īstenotos, tiktu izpildīti būtisku incidentu klasifikācijas kritēriji un sasniegta to robežvērtība, kā arī atkarīgai no kiberdraudu veida un finanšu vienībai pieejamās informācijas.

(13)

Ņemot vērā to, ka citu dalībvalstu kompetentās iestādes ir jāinformē par incidentiem, kas ietekmē finanšu vienības un klientus to jurisdikcijā, ietekmes novērtējums citā jurisdikcijā saskaņā ar Regulas (ES) 2022/2554 19. panta 7. punktu būtu jābalsta uz incidenta pamatcēloni, iespējamo kaitīgās ietekmes izplatīšanos ar trešo personu, kas ir pakalpojumu sniedzēji, un finanšu tirgus infrastruktūru starpniecību, kā arī ietekmi uz nozīmīgām klientu grupām vai finanšu darījumu partneriem.

(14)

Regulas (ES) 2022/2554 19. panta 6. un 7. punktā minētajiem ziņošanas un paziņošanas procesiem būtu jāļauj attiecīgajiem saņēmējiem novērtēt incidentu ietekmi. Tāpēc nosūtītajā informācijā būtu jāietver visa informācija, kas ietverta ziņojumos par incidentu, kurus finanšu vienība iesniegusi kompetentajai iestādei.

(15)

Ja incidents ir personas datu aizsardzības pārkāpums saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (4) un Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (5), šai regulai nebūtu jāietekmē minētajos Savienības tiesību aktos noteiktie datu aizsardzības pārkāpumu reģistrēšanas un paziņošanas pienākumi. Kompetentajām iestādēm būtu jāsadarbojas un jāapmainās ar informāciju par visiem attiecīgajiem jautājumiem ar iestādēm, kas minētas Regulā (ES) 2016/679 un Direktīvā 2002/58/EK.

(16)

Šīs regulas pamatā ir regulatīvo tehnisko standartu projekts, ko Komisijai iesniegušas Eiropas uzraudzības iestādes, apspriežoties ar Eiropas Savienības Kiberdrošības aģentūru (ENISA) un Eiropas Centrālo banku (ECB).

(17)

Eiropas uzraudzības iestāžu apvienotā komiteja, kas minēta Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1093/2010 (6) 54. pantā, Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1094/2010 (7) 54. pantā un Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1095/2010 (8) 54. pantā, ir rīkojusi atklātu sabiedrisko apspriešanu par regulatīvajiem tehniskajiem standartiem, uz kuriem balstīta šī regula, analizējusi ierosināto standartu potenciālās izmaksas un radītos ieguvumus un lūgusi padomu Banku nozares ieinteresēto personu grupai, kas izveidota saskaņā ar Regulas (ES) Nr. 1093/2010 37. pantu, Apdrošināšanas un pārapdrošināšanas nozares ieinteresēto personu grupai un Aroda pensiju nozares ieinteresēto personu grupai, kas izveidotas saskaņā ar Regulas (ES) Nr. 1094/2010 37. pantu, un Vērtspapīru un tirgu nozares ieinteresēto personu grupai, kas izveidota saskaņā ar Regulas (ES) Nr. 1095/2010 37. pantu.

(18)

Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (9) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas sniedza atzinumu 2024. gada 24. janvārī,