Kommissionens delegerade förordning (EU) 2025/301 av den 23 oktober 2024 om komplettering av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller tekniska tillsynsstandarder som specificerar innehåll och tidsfrister för den första anmälan av, delrapporten och slutrapporten om allvarliga IKT-relaterade incidenter samt innehållet i den frivilliga anmälan av betydande cyberhot

(1)

För att harmonisera och förenkla de anmälnings- och rapporteringskrav för allvarliga IKT-relaterade incidenter som avses i artikel 19.4 i förordning (EU) 2022/2554 bör tidsfristerna för rapportering av allvarliga IKT-relaterade incidenter vara konsekventa för alla typer av finansiella entiteter. Tidsfristerna bör av detta skäl även i största möjliga utsträckning överensstämma med, och åtminstone ha samma verkan som, kraven i Europaparlamentets och rådets direktiv (EU) 2022/2555 (2).

(2)

För att inte lägga en orimlig rapporteringsbörda på de finansiella entiteterna i ett läge då de måste hantera den IKT-relaterade incidenten bör den första anmälan bara innehålla den viktigaste informationen. För att kunna vidta lämpliga tillsynsåtgärder måste behöriga myndigheter få information om allvarliga IKT-relaterade incidenter så snart som möjligt efter det att den finansiella entiteten har klassificerat en IKT-relaterad incident som allvarlig. Tidsfristen för den första anmälan som avses i artikel 19.4 a i förordning (EU) 2022/2554 bör följaktligen vara så kort som möjligt efter det att en IKT-relaterad incident har klassificerats som allvarlig, men samtidigt ge utrymme för flexibilitet, i synnerhet för affärsmodeller som inte är särskilt tidskritiska, för det fall att finansiella entiteter behöver mer tid att hantera den IKT-relaterade incidenten sedan de blivit medvetna om den.

(3)

Efter att ha mottagit den första anmälan bör behöriga myndigheter få mer detaljerad information om den IKT-relaterade incidenten i delrapporten och all relevant information i slutrapporten. Informationen i dessa rapporter bör göra det möjligt för behöriga myndigheter att göra ytterligare bedömningar av den IKT-relaterade incidenten och ta ställning till vilka tillsynsåtgärder de kan vilja vidta.

(4)

De tidsfrister för rapportering som avses i artikel 20 första stycket a ii i förordning (EU) 2022/2554 bör därför väga behöriga myndigheters behov av att snabbt få information mot behovet av att ge de finansiella entiteterna tillräckligt med tid att inhämta information som är fullständig och korrekt.

(5)

Med beaktande av kriterierna i artikel 20 första stycket a i förordning (EU) 2022/2554 bör tidsfristerna för rapportering inte utgöra en oproportionerligt stor börda för mikroföretag och andra finansiella entiteter som inte är betydande. För att undvika en oproportionerligt stor börda för finansiella entiteter bör tidsfristerna för rapportering dessutom ta hänsyn till veckoslut och helgdagar.

(6)

Eftersom betydande cyberhot anmäls på frivillig basis bör innehållet i sådana anmälningar inte vara betungande för finansiella entiteter utan mer begränsat än den information som krävs för allvarliga IKT-relaterade incidenter.

(7)

Denna förordning grundar sig på det förslag till tekniska tillsynsstandarder som de europeiska tillsynsmyndigheterna har överlämnat till kommissionen.

(8)

De europeiska tillsynsmyndigheterna har genomfört öppna offentliga samråd om det förslag till tekniska tillsynsstandarder som den här förordningen baseras på, analyserat potentiella kostnader och fördelar, samt begärt ett yttrande från de intressentgrupper som inrättats i enlighet med artikel 37 i Europaparlamentets och rådets förordningar (EU) nr 1093/2010 (3), (EU) nr 1094/2010 (4) och (EU) nr 1095/2010 (5).

(9)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (6) och avgav ett yttrande den 22 juli 2024. All behandling av personuppgifter inom ramen för denna förordning bör utföras i enlighet med tillämpliga dataskyddsprinciper och bestämmelser i förordning (EU) 2018/1725.

a)

Typen av rapportering (första anmälan, delrapport eller slutrapport).

b)

Den finansiella entitetens namn, LEI-kod och typ enligt artikel 2.1 i förordning (EU) 2022/2554.

c)

Namn och id-kod för den entitet som lämnar in den första anmälan, delrapporten eller slutrapporten för den finansiella entiteten.

d)

I tillämpliga fall, namn och LEI-koder för alla finansiella entiteter som omfattas av en aggregerad första anmälan eller del- eller slutrapport.

e)

Kontaktuppgifter för de personer som ansvarar för kommunikationen med den behöriga myndigheten om den allvarliga IKT-relaterade incidenten.

f)

I tillämpliga fall, uppgift om moderföretaget i den koncern som den finansiella entiteten tillhör.

g)

I fall med ekonomiska följder, den valuta i vilken beloppen anges.

a)

Den referenskod för incidenten som tilldelats av den finansiella entiteten.

b)

Datum och klockslag för upptäckt samt klassificering av incidenten i enlighet med artikel 8 i kommissionens delegerade förordning (EU) 2024/1772 (7).

c)

En beskrivning av den IKT-relaterade incidenten.

d)

De kriterier i artiklarna 1–8 i delegerad förordning (EU) 2024/1772 på grundval av vilka den finansiella entiteten klassificerade den IKT-relaterade incidenten som allvarlig.

e)

De medlemsstater som påverkas av den IKT-relaterade incidenten.

f)

Information om hur den IKT-relaterade incidenten upptäcktes.

g)

Om tillgänglig, information om ursprunget till den IKT-relaterade incidenten.

h)

Information om huruvida den finansiella entiteten har aktiverat en kontinuitetsplan.

i)

I tillämpliga fall, information om att den IKT-relaterade incidenten omklassificerats från allvarlig till inte allvarlig.

j)

Om tillgänglig, annan relevant information.

a)

I tillämpliga fall, den referenskod för incidenten som lämnats av den behöriga myndigheten.

b)

Datum och klockslag för den IKT-relaterade incidenten.

c)

I tillämpliga fall, datum och klockslag då den finansiella entiteten kunde återuppta normal verksamhet.

d)

Information om uppfyllandet av de kriterier i artiklarna 1–8 i delegerad förordning (EU) 2024/1772 på grundval av vilka den finansiella entiteten klassificerade den IKT-relaterade incidenten som allvarlig.

e)

Typen av IKT-relaterad incident.

f)

I tillämpliga fall, de hot och den teknik som används av den fientliga aktören.

g)

Berörda funktionsområden och affärsprocesser.

h)

Berörda infrastrukturkomponenter som stöder affärsprocesser.

i)

Inverkan på kundernas ekonomiska intressen.

j)

Information om rapporteringen av den IKT-relaterade incidenten till andra myndigheter.

k)

Tillfälliga åtgärder som den finansiella entiteten har vidtagit eller planerar att vidta för att återhämta sig från den IKT-relaterade incidenten.

l)

I tillämpliga fall, information om angreppsindikatorer.

a)

Information om bakomliggande orsaker till den IKT-relaterade incidenten.

b)

Datum och klockslag då den IKT-relaterade incidenten åtgärdades och de bakomliggande orsakerna hanterades.

c)

Information om hur den IKT-relaterade incidenten åtgärdades.

d)

I tillämpliga fall, information som är relevant för resolutionsmyndigheter.

e)

Information om direkta och indirekta kostnader och förluster till följd av den IKT-relaterade incidenten samt information om finansiella återkrav.

f)

I tillämpliga fall, information om återkommande IKT-relaterade incidenter.

a)

Allmän information om den anmälande finansiella entiteten enligt artikel 1.

b)

Datum och klockslag då det betydande cyberhotet upptäcktes och andra relevanta tidsstämplar som har anknytning till det betydande cyberhotet.

c)

En beskrivning av det betydande cyberhotet.

d)

Information om det betydande cyberhotets potentiella inverkan på den finansiella entiteten, dess kunder eller finansiella motparter.

e)

De klassificeringskriterier som skulle ha föranlett en rapport om allvarliga incidenter enligt artiklarna 1–8 i delegerad förordning (EU) 2024/1772 om cyberhotet hade materialiserats.

f)

Information om det betydande cyberhotets status och om eventuella förändringar i hotaktivitet.

g)

I tillämpliga fall, en beskrivning av de åtgärder som den finansiella entiteten har vidtagit för att förhindra att de betydande cyberhoten materialiseras.

h)

Information om alla underrättelser om det betydande cyberhotet till andra finansiella entiteter eller myndigheter.

i)

I tillämpliga fall, information om angreppsindikatorer.

j)

Om tillgänglig, annan relevant information.