19 straipsnis. Pranešimų apie didelius su IRT susijusius incidentus teikimas ir savanoriškas pranešimas apie dideles kibernetines grėsmes

1. Pagal šio straipsnio 4 dalį finansų sektoriaus subjektai praneša apie didelius su IRT susijusius incidentus atitinkamai kompetentingai institucijai, kaip nurodyta 46 straipsnyje.

Kai finansų sektoriaus subjektą prižiūri daugiau nei viena nacionalinė kompetentinga institucija, nurodyta 46 straipsnyje, valstybės narės paskiria vieną bendrą kompetentingą instituciją atitinkama kompetentinga institucija, atsakinga už šiame straipsnyje numatytų funkcijų ir pareigų vykdymą.

Kredito įstaigos, pagal Reglamento (ES) Nr. 1024/2013 6 straipsnio 4 dalį klasifikuojamos kaip svarbios, apie didelius su IRT susijusius incidentus praneša atitinkamai nacionalinei kompetentingai institucijai, paskirtai pagal Direktyvos 2013/36/ES 4 straipsnį, o pastaroji nedelsdama perduoda tą pranešimą ECB.

Taikant pirmą pastraipą, finansų sektoriaus subjektai, surinkę ir išanalizavę visą susijusią informaciją, parengia pradinį pranešimą ir pranešimus, nurodytus šio straipsnio 4 dalyje, naudodami 20 straipsnyje nurodytus šablonus ir pateikia juos kompetentingai institucijai. Tuo atveju, kai dėl techninių priežasčių negalima pateikti pradinio pranešimo naudojant šabloną, finansų sektoriaus subjektai pateikia pranešimą kompetentingai institucijai alternatyviomis priemonėmis.

Pradiniame pranešime ir pranešimuose, nurodytuose 4 dalyje, pateikiama visa informacija, būtina kompetentingai institucijai, kad ji galėtų nustatyti didelio su IRT susijusio incidento reikšmingumą ir įvertinti galimą tarpvalstybinį poveikį.

Nedarant poveikio finansų sektoriaus subjekto vykdomam pranešimų atitinkamai kompetentingai institucijai teikimui pagal pirmą pastraipą, valstybės narės gali papildomai nustatyti, kad kai kurie ar visi finansų sektoriaus subjektai taip pat teikia pradinį pranešimą ir kiekvieną šio straipsnio 4 dalyje nurodytą pranešimą naudodami 20 straipsnyje nurodytus šablonus, nacionalinėms kompetentingoms institucijoms arba reagavimo į kompiuterių saugumo incidentus tarnyboms (CSIRT), paskirtoms arba įsteigtoms pagal Direktyvą (ES) 2022/2555.

2. Finansų sektoriaus subjektai gali savanoriškai pranešti atitinkamai kompetentingai institucijai apie dideles kibernetines grėsmes, jeigu jie mano, kad grėsmė yra svarbi finansų sistemai, paslaugų naudotojams ar klientams. Atitinkama kompetentinga institucija gali pateikti tokią informaciją kitoms atitinkamoms institucijoms, nurodytoms 6 dalyje.

Kredito įstaigos, pagal Reglamento (ES) Nr. 1024/2013 6 straipsnio 4 dalį klasifikuojamos kaip svarbios, gali savanoriškai pranešti apie dideles kibernetines grėsmes atitinkamai nacionalinei kompetentingai institucijai, paskirtai pagal Direktyvos 2013/36/ES 4 straipsnį, o pastaroji nedelsdama perduoda tą pranešimą ECB.

Valstybės narės gali nustatyti, kad tie finansų sektoriaus subjektai, kurie savanoriškai pateikia pranešimą pagal pirmą pastraipą, taip pat gali perduoti tą pranešimą CSIRT, paskirtoms arba įsteigtoms pagal Direktyvą (ES) 2022/2555.

3. Kai įvyksta didelis su IRT susijęs incidentas ir jis daro poveikį klientų finansiniams interesams, finansų sektoriaus subjektai nepagrįstai nedelsdami, iš karto, kai sužino apie šį incidentą, informuoja savo klientus apie didelį su IRT susijusį incidentą ir apie priemones, kurių imtasi tokio incidento neigiamam poveikiui sumažinti.

Didelės kibernetinės grėsmės atveju finansų sektoriaus subjektai, kai taikytina, informuoja savo klientus, kuriems gali būti padarytas poveikis, apie visas tinkamas apsaugos priemones, kurių pastarieji, apsvarstę, galėtų imtis.

4. Finansų sektoriaus subjektai, laikydamiesi laiko terminų, kurie turi būti nustatyti pagal 20 straipsnio pirmos pastraipos a punkto ii papunktį, atitinkamai kompetentingai institucijai pateikia:

a) pradinį pranešimą;

b) tarpinį pranešimą, pateikiamą po a punkte nurodyto pradinio pranešimo, kai tik pirminio incidento padėtis reikšmingai pasikeičia arba, remiantis nauja turima informacija, pasikeičia didelio su IRT susijusio incidento šalinimo būdai, vėliau atitinkamai teikiant atnaujintus pranešimus kiekvieną kartą, kai esama naujos informacijos apie padėtį, taip pat gavus konkretų kompetentingos institucijos prašymą;

c) galutinį pranešimą, kai užbaigiama pagrindinės priežasties analizė, neatsižvelgiant į tai, ar poveikio mažinimo priemonės jau įgyvendintos, ir kai esama faktinių poveikio duomenų, kuriais galima pakeisti įverčius.

5. Finansų sektoriaus subjektai gali, laikydamiesi Sąjungos ir nacionalinės sektorių teisės, paslaugas teikiančiai trečiajai šaliai perduoti pareigas pranešti pagal šį straipsnį. Tokio perdavimo atveju finansų sektoriaus subjektas išlieka visiškai atsakingas už reikalavimų pranešti apie incidentus vykdymą.

6. Gavusi pradinį pranešimą ir kiekvieną 4 dalyje nurodytą pranešimą, kompetentinga institucija laiku pateikia duomenis apie didelį su IRT susijusį incidentą šiems gavėjams, remdamasi, kai taikytina, jų atitinkama kompetencija:

a) EBI, ESMA arba EIOPA;

b) ECB, 2 straipsnio 1 dalies a, b ir d punktuose nurodytų finansų sektoriaus subjektų atveju;

c) kompetentingoms institucijoms, bendriesiems informaciniams centrams arba CSIRT, paskirtiems arba įsteigtiems pagal Direktyvą (ES) 2022/2555;

d) pertvarkymo institucijoms, kaip nurodyta Direktyvos 2014/59/ES 3 straipsnyje, ir Bendrai pertvarkymo valdybai (BPV), kiek tai susiję su Europos Parlamento ir Tarybos reglamento (ES) Nr. 806/2014 7 straipsnio 2 dalyje nurodytais subjektais ir kiek tai susiję su Reglamento (ES) Nr. 806/2014 7 straipsnio 4 dalies b punkte ir 5 dalyje nurodytais subjektais ir grupėmis, jei tokie duomenys susiję su incidentais, kurie kelia riziką ypatingos svarbos funkcijų, kaip tai suprantama Direktyvos 2014/59/ES 2 straipsnio 1 dalies 35 punkte, užtikrinimui, ir

e) kitoms atitinkamoms valdžios institucijoms pagal nacionalinę teisę.

7. Gavę informaciją pagal 6 dalį, EBI, ESMA arba EIOPA ir ECB, pasikonsultavę su ENISA ir bendradarbiaudami su atitinkama kompetentinga institucija, įvertina, ar didelis su IRT susijęs incidentas yra svarbus kompetentingoms institucijoms kitose valstybėse narėse. Atlikusios tą vertinimą, EBI, ESMA arba EIOPA kuo greičiau pateikia atitinkamą pranešimą atitinkamoms kompetentingoms institucijoms kitose valstybėse narėse. ECB informuoja Europos centrinių bankų sistemos narius apie su mokėjimo sistema susijusias problemas. Remdamosi tuo pranešimu, kompetentingos institucijos, kai tinkama, imasi visų būtinų priemonių, kad nebūtų sutrikdytas tiesioginis finansų sistemos stabilumas.

8. Pranešimas, kurį ESMA turi pateikti pagal šio straipsnio 7 dalį, nedaro poveikio kompetentingos institucijos pareigai skubiai perduoti duomenis apie didelį su IRT susijusį incidentą atitinkamai priimančiosios valstybės narės institucijai, kai centrinis vertybinių popierių depozitoriumas priimančiojoje valstybėje narėje vykdo reikšmingą tarpvalstybinę veiklą, didelis su IRT susijęs incidentas gali turėti rimtų pasekmių priimančiosios valstybės narės finansų rinkoms ir jei kompetentingos institucijos, susijusios su finansų sektoriaus subjektų priežiūra, yra sudariusios bendradarbiavimo susitarimus.