(1)

Lai nodrošinātu Regulas (ES) 2022/2554 19. panta 4. punktā minēto paziņošanas un ziņošanas prasību saskaņošanu un vienkāršošanu attiecībā uz būtiskiem ar IKT saistītiem incidentiem, nosakot termiņus, kuros jāziņo par būtiskiem ar IKT saistītiem incidentiem, būtu jāievēro saskaņota pieeja attiecībā uz visu veidu finanšu vienībām. Šo iemeslu dēļ, nosakot termiņus, pēc iespējas būtu arī jāievēro pieeja, kas ir saskaņota ar Eiropas Parlamenta un Padomes Direktīvā (ES) 2022/2555 (2) noteiktajām prasībām un iznākuma ziņā vismaz līdzvērtīga tām.

(2)

Lai izvairītos no nepamatota ziņošanas sloga uzlikšanas finanšu vienībām laikā, kad tās risina ar IKT saistīto incidentu, sākotnējā paziņojuma saturā būtu jāiekļauj tikai vissvarīgākā informācija. Lai varētu veikt pienācīgus uzraudzības pasākumus, kompetentajām iestādēm informācija par būtiskiem ar IKT saistītiem incidentiem būtu jāsaņem pēc iespējas ātrāk pēc tam, kad finanšu vienība ar IKT saistītu incidentu ir klasificējusi kā būtisku. Tāpēc Regulas (ES) 2022/2554 19. panta 4. punkta a) apakšpunktā minētajam sākotnējā paziņojuma iesniegšanas termiņam vajadzētu būt pēc iespējas īsākam pēc tam, kad ar IKT saistīts incidents ir klasificēts kā būtisks, vienlaikus nodrošinot elastību, jo īpaši attiecībā uz pakalpojumu darījumdarbības modeļiem, kas nav īpaši svarīgi laikā, ja finanšu vienībām ir vajadzīgs vairāk laika, lai risinātu ar IKT saistīto incidentu pēc tam, kad tas kļuvis zināms.

(3)

Pēc sākotnējā paziņojuma saņemšanas kompetentajām iestādēm starpposma ziņojumā būtu jāsaņem sīkāka informācija par incidentu, kas saistīts ar IKT, un gala ziņojumā – visa attiecīgā informācija. Minētajos ziņojumos sniegtajai informācijai būtu jāļauj kompetentajām iestādēm detalizētāk novērtēt ar IKT saistīto incidentu un izvērtēt uzraudzības darbības, ko tās varētu vēlēties veikt.

(4)

Tāpēc Regulas (ES) 2022/2554 20. panta pirmās daļas a) punkta ii) apakšpunktā minētajiem ziņošanas termiņiem būtu jālīdzsvaro nepieciešamība kompetentajām iestādēm ātri saņemt informāciju un nepieciešamība finanšu vienībām nodrošināt pietiekami daudz laika pilnīgas un precīzas informācijas iegūšanai.

(5)

Ņemot vērā Regulas (ES) 2022/2554 20. panta pirmās daļas a) punktā noteiktos kritērijus, ziņošanas termiņiem nevajadzētu radīt nesamērīgu slogu mikrouzņēmumiem un citām finanšu vienībām, kas nav klasificētas kā nozīmīgas. Turklāt, lai izvairītos no nesamērīga sloga finanšu vienībām, ziņošanas termiņos būtu jāņem vērā nedēļas nogales un svētku dienas.

(6)

Tā kā ziņošana par būtiskiem kiberdraudiem ir brīvprātīga, šādu paziņojumu saturam nevajadzētu radīt slogu finanšu vienībām, un tam vajadzētu būt ierobežotākam nekā informācijai, kas pieprasīta par būtiskiem ar IKT saistītiem incidentiem.

(7)

Šīs regulas pamatā ir regulatīvo tehnisko standartu projekts, ko Komisijai iesniegušas Eiropas uzraudzības iestādes.

(8)

Eiropas uzraudzības iestādes ir veikušas atklātu sabiedrisko apspriešanu par regulatīvo tehnisko standartu projektu, kas ir šīs regulas pamatā, izvērtējušas potenciālās saistītās izmaksas un ieguvumus un pieprasījušas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (3), (ES) Nr. 1094/2010 (4) un (ES) Nr. 1095/2010 (5) 37. pantu izveidoto ieinteresēto personu grupu konsultāciju.

(9)

Notika apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju (EDAU) saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (6) 42. panta 1. punktu, un EDAU 2024. gada 22. jūlijā sniedza pozitīvu atzinumu. Jebkāda personas datu apstrāde, kas ietilpst šīs regulas darbības jomā, būtu jāveic saskaņā ar piemērojamajiem datu aizsardzības principiem un noteikumiem, kas izklāstīti Regulā (ES) 2018/1725,

a)

iesniegtās informācijas veids (sākotnējais paziņojums, starpposma ziņojums vai gala ziņojums);

b)

Regulas (ES) 2022/2554 2. panta 1. punktā minētās finanšu vienības nosaukums, juridiskās personas identifikatora (LEI) kods un veids;

c)

tās vienības nosaukums un identifikācijas kods, kas iesniedz finanšu vienības sākotnējo paziņojumu vai starpposma vai gala ziņojumu;

d)

attiecīgā gadījumā visu to finanšu vienību nosaukumi un juridiskās personas identifikatora (LEI) kodi, uz kurām attiecas apkopotais sākotnējais paziņojums vai starpposma vai gala ziņojums;

e)

to personu kontaktinformācija, kuras ir atbildīgas par saziņu ar kompetento iestādi par būtisko ar IKT saistīto incidentu;

f)

attiecīgā gadījumā – tās grupas mātesuzņēmuma identifikācija, pie kuras pieder finanšu vienība;

g)

ja ir monetāra ietekme – valūta, kādā uzrāda summas.

a)

incidenta atsauces kods, ko piešķīrusi finanšu vienība;

b)

incidenta atklāšanas datums, atklāšanas laiks un klasifikācija saskaņā ar Komisijas Deleģētās regulas (ES) 2024/1772 (7) 8. pantu;

c)

ar IKT saistītā incidenta apraksts;

d)

Deleģētās regulas (ES) 2024/1772 1.–8. pantā noteiktie kritēriji, uz kuru pamata finanšu vienība ar IKT saistīto incidentu klasificējusi kā būtisku;

e)

dalībvalstis, kuras skāris ar IKT saistītais incidents;

f)

informācija par to, kā tika atklāts ar IKT saistītais incidents;

g)

ja pieejama – informācija par to, kāda ir ar IKT saistītā incidenta izcelsme;

h)

informācija par to, vai finanšu vienība ir aktivizējusi darbības nepārtrauktības plānu;

i)

attiecīgā gadījumā informācija par incidenta, kas saistīts ar IKT, pārklasificēšanu no būtiska uz nebūtisku;

j)

jebkura cita būtiska informācija, ja tāda ir pieejama.

a)

attiecīgā gadījumā kompetentās iestādes norādītais incidenta atsauces kods;

b)

datums un laiks, kad noticis ar IKT saistītais incidents;

c)

attiecīgā gadījumā datums un laiks, kad finanšu vienība ir atsākusi savas parastās darbības;

d)

informācija par to, kā ir izpildīti Deleģētās regulas (ES) 2024/1772 1.–8. pantā noteiktie kritēriji, uz kuru pamata finanšu vienība ar IKT saistīto incidentu klasificējusi kā būtisku;

e)

ar IKT saistītā incidenta veids;

f)

attiecīgā gadījumā apdraudētāja izmantotie apdraudējuma veidi un paņēmieni;

g)

skartās funkcionālās jomas un uzņēmējdarbības procesi;

h)

skartie infrastruktūras komponenti, kas atbalsta uzņēmējdarbības procesus;

i)

ietekme uz klientu finanšu interesēm;

j)

informācija par to, vai citām iestādēm ir paziņots par incidentu, kas saistīts ar IKT;

k)

pagaidu darbības vai pasākumi, ko finanšu vienība veikusi vai ko tā plāno veikt, lai novērstu ar IKT saistītā incidenta sekas;

l)

attiecīgā gadījumā informācija par aizskāruma rādītājiem.

a)

informācija par incidenta, kas saistīts ar IKT, pamatcēloņiem;

b)

datums un laiks, kad ar IKT saistītais incidents tika atrisināts, un novērstais pamatcēlonis vai pamatcēloņi;

c)

informācija par incidenta, kas saistīts ar IKT, atrisināšanu;

d)

attiecīgā gadījumā noregulējuma iestādēm būtiska informācija;

e)

informācija par tiešajām un netiešajām izmaksām un zaudējumiem, kas izriet no incidenta, kurš saistīts ar IKT, un informācija par finansiālo seku novēršanu;

f)

attiecīgā gadījumā informācija par atkārtotiem ar IKT saistītiem incidentiem.

a)

vispārīga informācija par paziņotāju finanšu vienību, kā noteikts 1. pantā;

b)

būtisko kiberdraudu atklāšanas datums un laiks un jebkādi citi attiecīgie laika zīmogi, kas saistīti ar būtiskiem kiberdraudiem;

c)

būtisko kiberdraudu apraksts;

d)

informācija par kiberdraudu iespējamo ietekmi uz finanšu vienību, tās klientiem vai finanšu darījumu partneriem;

e)

klasifikācijas kritēriji, kas kiberdraudu materializēšanās gadījumā būtu izraisījuši to, ka tiek iesniegts ziņojums par būtisku incidentu, kā noteikts Deleģētās regulas (ES) 2024/1772 1.–8. pantā;

f)

informācija par būtiskā kiberdrauda statusu un jebkādām izmaiņām apdraudējuma aktivitātē;

g)

attiecīgā gadījumā apraksts par darbībām, ko finanšu vienība veikusi, lai novērstu būtisko kiberdraudu materializēšanos;

h)

informācija par jebkāda būtisku kiberdraudu paziņojuma sniegšanu citām finanšu vienībām vai iestādēm;

i)

attiecīgā gadījumā informācija par aizskāruma rādītājiem;

j)

jebkura cita būtiska informācija, ja tāda ir pieejama.