KOMISJONI DELEGEERITUD MÄÄRUS (EL) 2024/1772, 13. märts 2024, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554 regulatiivsete tehniliste standarditega, millega määratakse kindlaks IKT intsidentide ja küberohtude liigitamise kriteeriumid, kehtestatakse olulisuse läved ja täpsustatakse tõsiste intsidentide kohta esitatavate raportite üksikasju (EMPs kohaldatav tekst)

(1)

Määruse (EL) 2022/2554 eesmärk on ühtlustada ja sujundada krediidiasutuste, makseasutuste, kontoteabe teenuse pakkujate ja e-raha asutustega seotud IKT intsidentidest ning tegevust või turvalisust mõjutavatest maksetega seotud intsidentidest teatamise nõudeid (edaspidi „intsidendid“). Võttes arvesse, et teatamisnõuded hõlmavad 20 eri liiki finantssektori ettevõtjaid, tuleks tõsiste intsidentide ja oluliste küberohtude kindlaksmääramiseks kasutatavad liigitamiskriteeriumid ja olulisuse läved kindlaks määrata lihtsal, ühtsel ja järjepideval viisil, võttes arvesse kõigi asjaomaste finantssektori ettevõtjate teenuste ja tegevuse eripära.

(2)

Proportsionaalsuse tagamiseks peaksid liigitamiskriteeriumid ja olulisuse läved kajastama kõigi finantssektori ettevõtjate suurust ja üldist riskiprofiili ning teenuste laadi, ulatust ja keerukust. Lisaks tuleks kriteeriumid ja olulisuse läved kehtestada nii, et neid kohaldatakse järjepidevalt kõigi finantssektori ettevõtjate suhtes, olenemata nende suurusest ja riskiprofiilist, ning need ei tekita väiksematele finantssektori ettevõtjatele ebaproportsionaalset aruandluskoormust. Selleks et lahendada olukordi, kus oluline arv kliente on mõjutatud intsidendist, mis iseenesest ei ületa kohaldatavat läve, tuleks kehtestada peamiselt suurematele finantssektori ettevõtjatele suunatud absoluutne lävi.

(3)

Seoses intsidentidest teatamise raamistikega, mis kehtisid juba enne määruse (EL) 2022/2554 jõustumist, tuleks finantssektori ettevõtjate jaoks tagada järjepidevus. Seepärast tuleks liigitamiskriteeriumid ja olulisuse läved viia kooskõlla EBA suunistega tõsistest intsidentidest teatamise kohta Euroopa Parlamendi ja nõukogu direktiivi (EL) 2015/2366 (2) alusel, suunistega kauplemisteabehoidlate poolt ESMA-le perioodilise teabe esitamise ja olulistest muudatuste teatamise kohta, EKP/ühtse järelevalvemehhanismi küberintsidentidest teatamise raamistikuga ning muude asjakohaste suunistega. Liigitamiskriteeriumid ja läved peaksid sobima ka finantssektori ettevõtjatele, kelle suhtes intsidentidest teatamise nõudeid enne määrust (EL) 2022/2554 ei kohaldatud.

(4)

Seoses liigitamiskriteeriumiga „mõjutatud tehingute summa ja arv“ on tehingute mõiste lai ning hõlmab finantssektori ettevõtjate suhtes kohaldatavates valdkondlikes õigusaktides sätestatud eri tegevusi ja teenuseid. Kõnealuse liigitamiskriteeriumi kohaldamisel tuleks hõlmata maksetehingud ning finantsinstrumentide, krüptovara, kaupade või muu vara (sealhulgas võimendustagatise, tagatise või pandi kujul) igasugune vahetamine nii sularaha kui ka mis tahes muu vara vastu. Liigitamisel tuleks arvesse võtta kõiki tehinguid, mis hõlmavad varasid, mille väärtust saab väljendada rahalises summas.

(5)

Liigitamiskriteeriumidega tuleks tagada, et hõlmatud on kõik asjakohased tõsiste intsidentide liigid. Paljud liigitamiskriteeriumid ei pruugi tingimata hõlmata võrgu- või infosüsteemidesse sissetungiga seotud küberründeid. Kuid need on siiski olulised, sest mis tahes sissetung võrgu- ja infosüsteemidesse võib finantssektori ettevõtjat kahjustada. Sellest tulenevalt tuleks täpsustada liigitamiskriteeriume „mõjutatud kriitilise tähtsusega teenused“ ja „andmekadu“ nii, et need hõlmaksid seda liiki tõsiseid intsidente, eelkõige loata sissetunge, mis võivad isegi juhul, kui mõju ei ole kohe teada, tuua kaasa tõsiseid tagajärgi, eelkõige andmetega seotud rikkumisi ja andmelekkeid.

(6)

Kuna krediidiasutuste suhtes kohaldatakse nii määruse (EL) 2022/2554 artikli 18 kohast intsidentide liigitamise raamistikku kui ka komisjoni delegeeritud määruse (EL) 2018/959 (3) kohast operatsiooniriski raamistikku, peaks lähenemisviis intsidendi majandusliku mõju hindamiseks kulude ja kahju arvutamise alusel olema mõlemas raamistikus võimalikult järjepidev, et vältida sobimatute või vastuoluliste nõuete kehtestamist.

(7)

Intsidendi geograafilise ulatuse kriteerium, nagu on sätestatud määruse (EL) 2022/2554 artikli 18 lõike 1 punktis c, peaks keskenduma intsidendi piiriülesele mõjule, kuna intsidendi mõju finantssektori ettevõtja tegevusele ühes jurisdiktsioonis hõlmavad muud kõnealuses artiklis sätestatud kriteeriumid.

(8)

Võttes arvesse, et liigitamiskriteeriumid on üksteisest sõltuvad ja omavahel seotud, peaks määruse (EL) 2022/2554 artikli 19 lõike 1 kohaselt teatatavate tõsiste intsidentide kindlakstegemise lähenemisviis põhinema kriteeriumide kombinatsioonil, mille puhul mõnel kriteeriumil, mis on tihedalt seotud määruse (EL) 2022/2554 artikli 3 lõigetes 8 ja 10 sätestatud IKT intsidendi ja tõsise IKT intsidendi määratlustega, olema tõsiste intsidentide liigitamisel suurem tähtsus kui muudel kriteeriumidel.

(9)

Tagamaks, et määruse (EL) 2022/2554 artikli 19 lõike 1 kohaselt pädevatele asutustele esitatavad rapordid ja teated tõsiste intsidentide kohta on kasulikud nii järelevalve eesmärgil kui ka finantssektoris leviku ärahoidmiseks, peaksid olulisuse läved võimaldama hõlmata tõsiseid intsidente, keskendudes muu hulgas mõjule üksuse konkreetsetele kriitilise tähtsusega teenustele, klientide, finantssektori vastaspoolte või tehingute konkreetsetele absoluutsetele ja suhtelistele lävedele, mis osutavad finantssektori ettevõtjale avalduvale olulisele mõjule, ning mõju olulisusele teistes liikmesriikides.

(10)

Intsidente, mis mõjutavad IKT-teenuseid või võrgu- ja infosüsteeme, mis toetavad kriitilise tähtsusega või olulisi funktsioone või puudutavad finantsteenuseid, mille osutamiseks on vaja luba, või pahatahtlikku loata juurdepääsu võrgu- ja infosüsteemidele, mis toetavad kriitilise tähtsusega või olulisi funktsioone, tuleks käsitada intsidentidena, mis mõjutavad finantssektori ettevõtjate kriitilise tähtsusega teenuseid. Pahatahtlik loata juurdepääs võrgu- ja infosüsteemidele, mis toetavad finantssektori ettevõtja kriitilise tähtsusega või olulisi funktsioone, kujutab endast tõsist ohtu finantssektori ettevõtjale ning, kuna see võib mõjutada teisi finantssektori ettevõtjaid, tuleks seda alati käsitada tõsise intsidendina, millest tuleb teatada.

(11)

Korduvad intsidendid, mis on omavahel seotud sarnase ilmse algpõhjuse kaudu ja mis eraldi ei ole tõsised intsidendid, võivad osutada märkimisväärsetele puudustele ja nõrkustele finantssektori ettevõtja intsidendi- ja riskijuhtimismenetlustes. Seepärast tuleks korduvaid intsidente pidada kollektiivselt tõsiseks, kui need toimuvad teatava ajavahemiku jooksul korduvalt.

(12)

Võttes arvesse, et küberohud võivad finantssektori ettevõtjat ja sektorit negatiivselt mõjutada, peaksid finantssektori ettevõtjad olulistest küberohtudest teatamisel täpsustama nende realiseerumise tõenäosust ja võimaliku mõju kriitilist tähtsust. Selleks et tagada küberohtude olulisuse selge ja järjepidev hindamine, peaks küberohu liigitamine oluliseks sõltuma tõenäosusest, et ohu realiseerumise korral on tõsiste intsidentide liigitamise kriteeriumid täidetud ja nende lävi ületatud, küberohu liigist ja finantssektori ettevõtjale kättesaadavast teabest.

(13)

Võttes arvesse, et teiste liikmesriikide pädevaid asutusi tuleb teavitada intsidentidest, mis mõjutavad finantssektori ettevõtjaid ja kliente nende jurisdiktsioonis, peaks määruse (EL) 2022/2554 artikli 19 lõike 7 kohane mõju hindamine teises jurisdiktsioonis põhinema intsidendi algpõhjusel, võimalikul levikul kolmandast isikust teenuseosutajate ja finantsturutaristute kaudu ning intsidendi mõjul olulistele kliendi- või finantssektori vastaspoolte rühmadele.

(14)

Määruse (EL) 2022/2554 artikli 19 lõigetes 6 ja 7 osutatud aruandlus- ja teavitamismenetlused peaksid võimaldama asjaomastel saajatel hinnata intsidentide mõju. Seepärast peaks edastatud teave hõlmama kõiki üksikasju, mis sisalduvad finantssektori ettevõtja poolt pädevale asutusele intsidendi kohta esitatud raportis.

(15)

Kui intsident kujutab endast isikuandmetega seotud rikkumist vastavalt Euroopa Parlamendi ja nõukogu määrusele (EL) 2016/679 (4) ning Euroopa Parlamendi ja nõukogu direktiivile 2002/58/EÜ (5), ei tohiks käesolev määrus mõjutada kõnealuste liidu õigusaktide kohaseid isikuandmetega seotud rikkumiste registreerimise ja nendest teavitamise kohustusi. Pädevad asutused peaksid kõigis asjakohastes küsimustes tegema koostööd ning vahetama teavet määruses (EL) 2016/679 ja direktiivis 2002/58/EÜ osutatud asutustega.

(16)

Käesolev määrus põhineb regulatiivsete tehniliste standardite eelnõul, mille on komisjonile esitanud Euroopa järelevalveasutused, konsulteerides Euroopa Liidu Küberturvalisuse Ameti ja Euroopa Keskpangaga.

(17)

Euroopa Parlamendi ja nõukogu määruse (EL) nr 1093/2010 (6) artiklis 54, Euroopa Parlamendi ja nõukogu määruse (EL) nr 1094/2010 (7) artiklis 54 ning Euroopa Parlamendi ja nõukogu määruse (EL) nr 1095/2010 (8) artiklis 54 osutatud Euroopa järelevalveasutuste ühiskomitee on korraldanud käesoleva määruse aluseks olevate regulatiivsete tehniliste standardite eelnõude kohta avalikud konsultatsioonid, analüüsinud kavandatud standardite võimalikke kulusid ja kasu ning küsinud nõu määruse (EL) nr 1093/2010 artikli 37 kohaselt loodud pangandussektori sidusrühmade kogult, määruse (EL) nr 1094/2010 artikli 37 kohaselt loodud kindlustuse ja edasikindlustuse sidusrühmade kogult ja tööandjapensionide sidusrühmade kogult ning määruse (EL) nr 1095/2010 artikli 37 kohaselt loodud väärtpaberituru sidusrühmade kogult.

(18)

Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (9) artikli 42 lõikele 1 konsulteeriti Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse 24. jaanuaril 2024,