(EU) 2025/301Nařízení Komise v přenesené pravomoci (EU) 2025/301 ze dne 23. října 2024, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o regulační technické normy, jež stanoví obsah a lhůty pro prvotní oznámení a průběžnou a závěrečnou zprávu o závažných incidentech souvisejících s IKT a obsah dobrovolného oznámení o významných kybernetických hrozbách

(1)

V zájmu zajištění harmonizace a zjednodušení požadavků na podávání oznámení a zpráv o závažných incidentech souvisejících s IKT podle čl. 19 odst. 4 nařízení (EU) 2022/2554 by lhůty pro hlášení závažných incidentů souvisejících s IKT měly být stanoveny tak, aby byl zachován jednotný přístup pro všechny druhy finančních subjektů. Z těchto důvodů by přístup ke stanovení uvedených lhůt měl být rovněž v co největším souladu s požadavky stanovenými ve směrnici Evropského parlamentu a Rady (EU) 2022/2555 (2), s nimiž by co do účinku měly být přinejmenším rovnocenné.

(2)

Aby se předešlo nepřiměřené zátěži spojené s podáváním zpráv pro finanční subjekty v době, kdy incident související s IKT řeší, měl by se obsah prvotního oznámení omezovat na nejpodstatnější informace. Mají-li příslušné orgány být schopny přijmout náležitá opatření v oblasti dohledu, musí obdržet informace o závažných incidentech souvisejících s IKT pokud možno co nejdříve poté, co finanční subjekt klasifikoval incident související s IKT jako závažný. Lhůta pro předložení prvotního oznámení podle čl. 19 odst. 4 písm. a) nařízení (EU) 2022/2554 poté, co byl incident související s IKT klasifikován jako závažný, by tedy měla být pokud možno co nejkratší, ale zároveň by měla umožňovat flexibilitu, zejména v případě obchodních modelů služeb, které nejsou časově nijak zvlášť časově kritické, pokud finanční subjekty potřebují na zpracování incidentu souvisejícího s IKT poté, co se o něm dozvěděly, více času.

(3)

Po obdržení prvotního oznámení by příslušné orgány měly obdržet podrobnější informace o incidentu souvisejícím s IKT v průběžné zprávě a veškeré relevantní informace v závěrečné zprávě. Informace obsažené v těchto zprávách by měly příslušným orgánům umožňovat další posouzení incidentu souvisejícího s IKT a vyhodnocení opatření v oblasti dohledu, která případně budou chtít přijmout.

(4)

Lhůty pro hlášení uvedené v čl. 20 prvním pododstavci písm. a) bodě ii) nařízení (EU) 2022/2554 by proto měly vyvažovat potřebu příslušných orgánů obdržet informace rychle a potřebu poskytnout finančním subjektům dostatek času na získání úplných a přesných informací.

(5)

S ohledem na kritéria stanovená v čl. 20 prvním pododstavci písm. a) nařízení (EU) 2022/2554 by lhůty pro hlášení neměly představovat nepřiměřenou zátěž pro mikropodniky a jiné finanční subjekty, které se nepovažují za významné. Aby se nadto zabránilo nepřiměřenému zatížení finančních subjektů, měly by lhůty pro hlášení brát v úvahu víkendy a státní svátky.

(6)

Vzhledem k tomu, že oznamování významných kybernetických hrozeb má být dobrovolné, neměl by obsah těchto oznámení představovat pro finanční subjekty zátěž a ve srovnání s informacemi požadovanými v případě závažných incidentů souvisejících s IKT by měl být omezenější.

(7)

Toto nařízení vychází z návrhů regulačních technických norem, které Komisi předložily evropské orgány dohledu.

(8)

O návrhu regulačních technických norem, z něhož toto nařízení vychází, vedly evropské orgány dohledu otevřené veřejné konzultace, analyzovaly potenciální související náklady a přínosy a požádaly o radu skupinu subjektů zřízenou v souladu s článkem 37 nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 (3), (EU) č. 1094/2010 (4) a (EU) č. 1095/2010 (5).

(9)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (6) byl konzultován evropský inspektor ochrany údajů, který vydal kladné stanovisko dne 22. července 2024. Jakékoli zpracování osobních údajů v oblasti působnosti tohoto nařízení by mělo být prováděno v souladu s platnými zásadami ochrany údajů a ustanoveními nařízení (EU) 2018/1725,

a)

druh předkládaného dokumentu (prvotní oznámení, průběžná zpráva nebo závěrečná zpráva);

b)

název finančního subjektu, jeho identifikační kód právnické osoby (LEI) a druh finančního subjektu podle čl. 2 odst. 1 nařízení (EU) 2022/2554;

c)

název a identifikační kód subjektu, který předkládá prvotní oznámení nebo průběžnou či závěrečnou zprávu za finanční subjekt;

d)

případně názvy a kódy LEI všech finančních subjektů zahrnutých do souhrnného prvotního oznámení nebo průběžné či závěrečné zprávy;

e)

kontaktní údaje osob odpovědných za komunikaci s příslušným orgánem ohledně závažné události související s IKT;

f)

případně identifikaci mateřského podniku skupiny, do níž finanční subjekt patří;

g)

v případě peněžního dopadu měnu, v níž jsou částky vyčísleny.

a)

referenční kód incidentu přidělený finančním subjektem;

b)

datum zjištění, čas zjištění a klasifikaci incidentu podle článku 8 nařízení Komise v přenesené pravomoci (EU) 2024/1772 (7);

c)

popis incidentu souvisejícího s IKT;

d)

kritéria stanovená v článcích 1 až 8 nařízení v přenesené pravomoci (EU) 2024/1772, na jejichž základě finanční subjekt klasifikoval incident související s IKT jako závažný;

e)

členské státy, které jsou incidentem souvisejícím s IKT dotčeny;

f)

informace o tom, jak byl incident související s IKT odhalen;

g)

informace o původu incidentu souvisejícího s IKT, pokud jsou k dispozici;

h)

informace o tom, zda finanční subjekt aktivoval plán zachování provozu;

i)

případně informace o překlasifikování incidentu souvisejícího s IKT ze závažného na méně závažný;

j)

případné další relevantní informace.

a)

případný referenční kód incidentu poskytnutý příslušným orgánem;

b)

datum a čas výskytu incidentu souvisejícího s IKT;

c)

případně datum a čas, kdy finanční subjekt obnovil své běžné činnosti;

d)

informace o tom, jak byla splněna kritéria stanovená v článcích 1 až 8 nařízení v přenesené pravomoci (EU) 2024/1772, na jejichž základě finanční subjekt klasifikoval incident související s IKT jako závažný;

e)

druh incidentu souvisejícího s IKT;

f)

případné hrozby a techniky použité aktérem hrozby;

g)

dotčené funkční oblasti a obchodní procesy;

h)

dotčené součásti infrastruktury podporující podnikové procesy;

i)

dopad na finanční zájmy klientů;

j)

informace o hlášení incidentu souvisejícího s IKT jiným orgánům;

k)

dočasná opatření, která finanční subjekt přijal nebo hodlá přijmout k překonání účinků incidentu souvisejícího s IKT;

l)

případné informace o ukazatelích narušení.

a)

informace o hlavních příčinách incidentu souvisejícího s IKT;

b)

data a časy, kdy byl incident související s IKT vyřešen a kdy byla odstraněna jeho hlavní příčina nebo příčiny;

c)

informace o řešení incidentu souvisejícího s IKT;

d)

případné informace významné pro orgány příslušné k řešení krize;

e)

informace o přímých a nepřímých nákladech a ztrátách, jež z incidentu souvisejícího s IKT vyplývají, a informace o zpětně získaných finančních prostředcích;

f)

případné informace o opakujících se incidentech souvisejících s IKT.

a)

obecné informace o oznamujícím finančním subjektu podle článku 1;

b)

datum a čas zjištění významné kybernetické hrozby a další relevantní časová razítka související s významnou kybernetickou hrozbou;

c)

popis významné kybernetické hrozby;

d)

informace o potenciálním dopadu významné kybernetické hrozby na finanční subjekt, jeho klienty nebo finanční protistrany;

e)

klasifikační kritéria, která by v případě naplnění kybernetické hrozby vedla k hlášení závažného incidentu, podle článků 1 až 8 nařízení v přenesené pravomoci (EU) 2024/1772;

f)

informace o stavu významné kybernetické hrozby a o případných změnách v její aktivitě;

g)

popis případných opatření, která finanční subjekt přijal, aby zabránil naplnění významných kybernetických hrozeb;

h)

informace o jakémkoli oznámení významné kybernetické hrozby jiným finančním subjektům nebo orgánům;

i)

případné informace o ukazatelích narušení;

j)

případné další relevantní informace.