(1)

Για να διασφαλιστούν η εναρμόνιση και η απλούστευση των απαιτήσεων κοινοποίησης και αναφοράς για μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ, όπως αναφέρονται στο άρθρο 19 παράγραφος 4 του κανονισμού (ΕΕ) 2022/2554, οι προθεσμίες για την αναφορά μειζόνων συμβάντων που σχετίζονται με τις ΤΠΕ θα πρέπει να ακολουθούν συνεκτική προσέγγιση για όλα τα είδη χρηματοοικονομικών οντοτήτων. Για τους λόγους αυτούς, οι προθεσμίες θα πρέπει επίσης, στον μέγιστο δυνατό βαθμό, να ακολουθούν συνεκτική προσέγγιση με τις απαιτήσεις που ορίζονται στην οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2) και να είναι τουλάχιστον ισοδύναμες ως προς το αποτέλεσμα με αυτές.

(2)

Για να αποφευχθεί η επιβολή αδικαιολόγητης επιβάρυνσης των χρηματοοικονομικών οντοτήτων όσον αφορά την υποβολή αναφορών σε χρονική στιγμή κατά την οποία χειρίζονται το συμβάν που σχετίζεται με τις ΤΠΕ, το περιεχόμενο της αρχικής κοινοποίησης θα πρέπει να περιορίζεται στις σημαντικότερες πληροφορίες. Για να είναι σε θέση να λαμβάνουν κατάλληλα εποπτικά μέτρα, οι αρμόδιες αρχές πρέπει να λαμβάνουν πληροφορίες σχετικά με τα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ το συντομότερο δυνατόν αφότου η χρηματοοικονομική οντότητα ταξινομήσει ένα συμβάν που σχετίζεται με τις ΤΠΕ ως μείζον. Κατά συνέπεια, η προθεσμία για την υποβολή αρχικής κοινοποίησης, όπως αναφέρεται στο άρθρο 19 παράγραφος 4 στοιχείο α) του κανονισμού (ΕΕ) 2022/2554, θα πρέπει να είναι όσο το δυνατόν πιο σύντομη μετά την ταξινόμηση ενός συμβάντος που σχετίζεται με τις ΤΠΕ ως μείζονος, ενώ παράλληλα θα πρέπει να παρέχεται ευελιξία, ιδίως για επιχειρηματικά μοντέλα υπηρεσιών για τα οποία ο χρόνος δεν έχει ιδιαίτερα κρίσιμη σημασία, σε περίπτωση που οι χρηματοοικονομικές οντότητες χρειάζονται περισσότερο χρόνο για να χειριστούν το συμβάν που σχετίζεται με τις ΤΠΕ αφού το πληροφορηθούν.

(3)

Μετά τη λήψη της αρχικής κοινοποίησης, οι αρμόδιες αρχές θα πρέπει να λαμβάνουν λεπτομερέστερες πληροφορίες για το συμβάν που σχετίζεται με τις ΤΠΕ στην ενδιάμεση αναφορά και όλες τις σχετικές πληροφορίες στην τελική αναφορά. Οι πληροφορίες που περιέχονται στις εν λόγω εκθέσεις θα πρέπει να δίνουν τη δυνατότητα στις αρμόδιες αρχές να αξιολογούν περαιτέρω το συμβάν που σχετίζεται με τις ΤΠΕ, καθώς και τα εποπτικά μέτρα που ενδέχεται να επιθυμούν να λάβουν.

(4)

Συνεπώς, οι προθεσμίες υποβολής αναφορών που προβλέπονται στο άρθρο 20 πρώτο εδάφιο στοιχείο α) σημείο ii) του κανονισμού (ΕΕ) 2022/2554 θα πρέπει να εξισορροπούν την ανάγκη των αρμόδιων αρχών να λαμβάνουν γρήγορα τις πληροφορίες με την ανάγκη παροχής επαρκούς χρόνου στις χρηματοοικονομικές οντότητες για να εξασφαλίζουν πλήρεις και ακριβείς πληροφορίες.

(5)

Λαμβανομένων υπόψη των κριτηρίων που ορίζονται στο άρθρο 20 πρώτο εδάφιο στοιχείο α) του κανονισμού (ΕΕ) 2022/2554, τα χρονοδιαγράμματα υποβολής αναφορών δεν θα πρέπει να συνεπάγονται δυσανάλογη επιβάρυνση για τις πολύ μικρές επιχειρήσεις και άλλες χρηματοοικονομικές οντότητες που δεν είναι σημαντικές. Επιπλέον, για να αποφευχθεί η δυσανάλογη επιβάρυνση για τις χρηματοπιστωτικές οντότητες, οι προθεσμίες υποβολής αναφορών θα πρέπει να λαμβάνουν υπόψη τα Σαββατοκύριακα και τις αργίες.

(6)

Δεδομένου ότι οι σημαντικές κυβερνοαπειλές πρόκειται να κοινοποιούνται σε προαιρετική βάση, το περιεχόμενο των εν λόγω κοινοποιήσεων δεν θα πρέπει να επιφέρει την επιβάρυνση των χρηματοοικονομικών οντοτήτων και θα πρέπει να είναι πιο περιορισμένο από τις πληροφορίες που ζητούνται για τα μείζονα συμβάντα που σχετίζονται με τις ΤΠΕ.

(7)

Ο παρών κανονισμός βασίζεται στα σχέδια ρυθμιστικών τεχνικών προτύπων που υπέβαλαν οι Ευρωπαϊκές Εποπτικές Αρχές στην Επιτροπή.

(8)

Οι Ευρωπαϊκές Εποπτικές Αρχές διεξήγαγαν ανοικτές δημόσιες διαβουλεύσεις σχετικά με τα σχέδια ρυθμιστικών τεχνικών προτύπων στα οποία βασίζεται ο παρών κανονισμός, ανέλυσαν τα ενδεχόμενα συναφή κόστη και τις ωφέλειες και ζήτησαν τη γνώμη των ομάδων συμφεροντούχων που έχουν συσταθεί σύμφωνα με το άρθρο 37 των κανονισμών (ΕΕ) αριθ. 1093/2010 (3), (ΕΕ) αριθ. 1094/2010 (4) και (ΕΕ) αριθ. 1095/2010 (5) του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου.

(9)

Ζητήθηκε, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6), η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων ο οποίος γνωμοδότησε θετικά στις 22 Ιουλίου 2024. Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα που εμπίπτει στο πεδίο εφαρμογής του παρόντος κανονισμού θα πρέπει να διενεργείται σύμφωνα με τις εφαρμοστέες αρχές και διατάξεις για την προστασία των δεδομένων που προβλέπονται στον κανονισμό (ΕΕ) 2018/1725,

α)

το είδος της υποβολής (αρχική κοινοποίηση, ενδιάμεση αναφορά ή τελική αναφορά)·

β)

την επωνυμία της χρηματοοικονομικής οντότητας, τον οικείο αναγνωριστικό κωδικό νομικής οντότητας και το είδος της χρηματοοικονομικής οντότητας, όπως αναφέρεται στο άρθρο 2 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554·

γ)

την επωνυμία και τον αναγνωριστικό κωδικό της οντότητας που υποβάλλει την αρχική κοινοποίηση, ή την ενδιάμεση ή την τελική αναφορά, για τη χρηματοοικονομική οντότητα·

δ)

κατά περίπτωση, τις επωνυμίες και τους αναγνωριστικούς κωδικούς όλων των χρηματοοικονομικών οντοτήτων που καλύπτονται από τη συγκεντρωτική αρχική κοινοποίηση ή την ενδιάμεση ή την τελική αναφορά·

ε)

τα στοιχεία επικοινωνίας των προσώπων που είναι υπεύθυνα για την επικοινωνία με την αρμόδια αρχή σχετικά με το μείζον συμβάν που σχετίζεται με τις ΤΠΕ·

στ)

κατά περίπτωση, τον προσδιορισμό της μητρικής επιχείρησης του ομίλου στον οποίο ανήκει η χρηματοοικονομική οντότητα·

ζ)

όταν υπάρχει χρηματικός αντίκτυπος, το νόμισμα στο οποίο βασίζονται τα ποσά.

α)

τον κωδικό αναφοράς συμβάντος που έχει αποδοθεί από τη χρηματοοικονομική οντότητα·

β)

την ημερομηνία εντοπισμού, την ώρα εντοπισμού και την ταξινόμηση του συμβάντος σύμφωνα με το άρθρο 8 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2024/1772 της Επιτροπής (7)·

γ)

περιγραφή του συμβάντος που σχετίζεται με τις ΤΠΕ·

δ)

τα κριτήρια που προβλέπονται στα άρθρα 1 έως 8 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2024/1772, βάσει των οποίων η χρηματοοικονομική οντότητα ταξινόμησε το συμβάν που σχετίζεται με τις ΤΠΕ ως μείζον·

ε)

τα κράτη μέλη που επηρεάζονται από το συμβάν που σχετίζεται με τις ΤΠΕ·

στ)

πληροφορίες σχετικά με τον τρόπο με τον οποίο ανακαλύφθηκε το συμβάν που σχετίζεται με τις ΤΠΕ·

ζ)

εφόσον υπάρχουν, πληροφορίες σχετικά με την προέλευση του συμβάντος που σχετίζεται με τις ΤΠΕ·

η)

πληροφορίες σχετικά με το αν η χρηματοοικονομική οντότητα έχει ενεργοποιήσει σχέδιο επιχειρησιακής συνέχειας·

θ)

κατά περίπτωση, πληροφορίες σχετικά με την αναταξινόμηση του συμβάντος που σχετίζεται με τις ΤΠΕ από μείζον σε μη μείζον·

ι)

εφόσον υπάρχει, κάθε άλλη σχετική πληροφορία.

α)

κατά περίπτωση, τον κωδικό αναφοράς συμβάντος που παρέχεται από την αρμόδια αρχή·

β)

την ημερομηνία και την ώρα επέλευσης του συμβάντος που σχετίζεται με τις ΤΠΕ·

γ)

κατά περίπτωση, την ημερομηνία και την ώρα κατά την οποία η χρηματοοικονομική οντότητα αποκατέστησε τις τακτικές δραστηριότητές της·

δ)

πληροφορίες σχετικά με τον τρόπο με τον οποίο πληρούνται τα κριτήρια που προβλέπονται στα άρθρα 1 έως 8 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2024/1772, βάσει των οποίων η χρηματοοικονομική οντότητα ταξινόμησε το συμβάν που σχετίζεται με τις ΤΠΕ ως μείζον·

ε)

το είδος του συμβάντος που σχετίζεται με τις ΤΠΕ·

στ)

κατά περίπτωση, τις απειλές και τις τεχνικές που χρησιμοποιούνται από τον παράγοντα απειλής·

ζ)

τους λειτουργικούς τομείς και τις επιχειρηματικές διαδικασίες που επηρεάζονται·

η)

επηρεαζόμενα στοιχεία υποδομής που υποστηρίζουν τις επιχειρηματικές διαδικασίες·

θ)

επιπτώσεις στα οικονομικά συμφέροντα των πελατών·

ι)

πληροφορίες σχετικά με την αναφορά του συμβάντος που σχετίζεται με τις ΤΠΕ σε άλλες αρχές·

ια)

προσωρινές δράσεις ή μέτρα που έχουν ληφθεί ή προβλέπεται να ληφθούν από τη χρηματοοικονομική οντότητα για την ανάκαμψη από το συμβάν που σχετίζεται με τις ΤΠΕ·

ιβ)

κατά περίπτωση, πληροφορίες σχετικά με τους δείκτες έκθεσης σε κίνδυνο.

α)

πληροφορίες σχετικά με τα βαθύτερα αίτια του συμβάντος που σχετίζεται με τις ΤΠΕ·

β)

ημερομηνίες και ώρες κατά τις οποίες επιλύθηκε το συμβάν που σχετίζεται με τις ΤΠΕ και αντιμετωπίστηκαν τα βαθύτερα αίτια·

γ)

πληροφορίες σχετικά με την επίλυση του συμβάντος που σχετίζεται με τις ΤΠΕ·

δ)

κατά περίπτωση, πληροφορίες σχετικά με τις αρχές εξυγίανσης·

ε)

πληροφορίες σχετικά με τις άμεσες και έμμεσες δαπάνες και ζημίες που απορρέουν από το συμβάν που σχετίζεται με τις ΤΠΕ και πληροφορίες σχετικά με την ανάκτηση χρηματικών ποσών·

στ)

κατά περίπτωση, πληροφορίες σχετικά με επαναλαμβανόμενα συμβάντα που σχετίζονται με τις ΤΠΕ.

α)

γενικές πληροφορίες σχετικά με την κοινοποιούσα χρηματοοικονομική οντότητα, όπως ορίζεται στο άρθρο 1·

β)

την ημερομηνία και την ώρα εντοπισμού της σημαντικής κυβερνοαπειλής και κάθε άλλης σχετικής χρονοσφραγίδας που σχετίζεται με τη σημαντική κυβερνοαπειλή·

γ)

περιγραφή της σημαντικής κυβερνοαπειλής·

δ)

πληροφορίες σχετικά με τις πιθανές επιπτώσεις της σημαντικής κυβερνοαπειλής στη χρηματοοικονομική οντότητα, στους πελάτες της ή στους χρηματοοικονομικούς αντισυμβαλλομένους της·

ε)

τα κριτήρια ταξινόμησης που θα είχαν οδηγήσει στην αναφορά μείζονος συμβάντος που προβλέπεται στα άρθρα 1 έως 8 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2024/1772 εάν είχε εκδηλωθεί η κυβερνοαπειλή·

στ)

πληροφορίες σχετικά με την κατάσταση της σημαντικής κυβερνοαπειλής και τυχόν αλλαγές στη δραστηριότητα απειλών·

ζ)

κατά περίπτωση, περιγραφή των μέτρων που έλαβε η χρηματοοικονομική οντότητα για να προληφθεί η επέλευση των σημαντικών κυβερνοαπειλών·

η)

πληροφορίες σχετικά με οποιαδήποτε κοινοποίηση της σημαντικής κυβερνοαπειλής σε άλλες χρηματοοικονομικές οντότητες ή αρχές·

θ)

κατά περίπτωση, πληροφορίες σχετικά με τους δείκτες έκθεσης σε κίνδυνο·

ι)

εφόσον υπάρχει, κάθε άλλη σχετική πληροφορία.