Le entità finanziarie includono nella notifica iniziale, nella relazione intermedia e nella relazione finale di cui all'articolo 19, paragrafo 4, del regolamento (UE) 2022/2554 le informazioni generali seguenti:

a) il tipo di segnalazione (notifica iniziale, relazione intermedia o relazione finale);

b) la denominazione dell'entità finanziaria, il rispettivo codice LEI e il tipo di entità finanziaria di cui all'articolo 2, paragrafo 1, del regolamento (UE) 2022/2554;

c) la denominazione e il codice identificativo dell'entità che trasmette la notifica iniziale, la relazione intermedia o la relazione finale per l'entità finanziaria;

d) se del caso, le denominazioni e i codici LEI di tutte le entità finanziarie interessate dalla notifica iniziale o dalla relazione intermedia o finale aggregate;

e) le informazioni di contatto delle persone responsabili della comunicazione con l'autorità competente in merito all'incidente grave connesso alle TIC;

f) se del caso, l'identificazione dell'impresa madre del gruppo cui appartiene l'entità finanziaria;

g) in caso di impatto monetario, la valuta su cui si basano gli importi.

Le notifiche iniziali di cui all'articolo 19, paragrafo 4, lettera a), del regolamento (UE) 2022/2554 contengono almeno tutte le informazioni specifiche seguenti:

a) il codice di riferimento dell'incidente assegnato dall'entità finanziaria;

b) la data e l'ora di individuazione e la classificazione dell'incidente a norma dell'articolo 8 del regolamento delegato (UE) 2024/1772 della Commissione (1);

c) una descrizione dell'incidente connesso alle TIC;

d) i criteri di cui agli articoli da 1 a 8 del regolamento delegato (UE) 2024/1772 in base ai quali l'entità finanziaria ha classificato l'incidente connesso alle TIC come grave;

e) gli Stati membri interessati dall'incidente connesso alle TIC;

f) informazioni sulle modalità di constatazione dell'incidente connesso alle TIC;

g) se disponibili, informazioni sull'origine dell'incidente connesso alle TIC;

h) informazioni che indichino se l'entità finanziaria abbia attivato un piano di continuità operativa;

i) se del caso, informazioni sulla riclassificazione dell'incidente connesso alle TIC da grave a non grave;

j) se disponibile, ogni altra informazione pertinente.

Le relazioni intermedie di cui all'articolo 19, paragrafo 4, lettera b), del regolamento (UE) 2022/2554 contengono almeno tutte le informazioni specifiche seguenti:

a) se del caso, il codice di riferimento dell'incidente fornito dall'autorità competente;

b) la data e l'ora in cui si è verificato l'incidente connesso alle TIC;

c) se del caso, la data e l'ora in cui l'entità finanziaria ha ripreso le sue regolari attività;

d) informazioni sul modo in cui sono stati soddisfatti i criteri di cui agli articoli da 1 a 8 del regolamento delegato (UE) 2024/1772, in base ai quali l'entità finanziaria ha classificato l'incidente connesso alle TIC come grave;

e) il tipo di incidente connesso alle TIC;

f) se del caso, le minacce e le tecniche utilizzate dall'autore della minaccia;

g) le aree funzionali e i processi commerciali interessati;

h) le componenti infrastrutturali interessate che sostengono i processi commerciali;

i) l'impatto sugli interessi finanziari dei clienti;

j) informazioni sulla segnalazione dell'incidente connesso alle TIC ad altre autorità;

k) le azioni o misure temporanee adottate o previste dall'entità finanziaria per effettuare il ripristino a seguito dell'incidente connesso alle TIC;

l) se del caso, informazioni sugli indicatori di compromissione.

Le relazioni finali di cui all'articolo 19, paragrafo 4, lettera c), del regolamento (UE) 2022/2554 contengono tutte le informazioni specifiche seguenti:

a) informazioni sulle cause di fondo dell'incidente connesso alle TIC;

b) la data e l'ora in cui l'incidente connesso alle TIC è stato risolto e in cui sono state affrontate le cause di fondo;

c) informazioni sulla risoluzione dell'incidente connesso alle TIC;

d) se del caso, informazioni pertinenti per le autorità di risoluzione;

e) informazioni sui costi diretti e indiretti e sulle perdite derivanti dall'incidente connesso alle TIC e informazioni sui recuperi finanziari;

f) se del caso, informazioni sugli incidenti ricorrenti connessi alle TIC.

1. Le entità finanziarie trasmettono la notifica iniziale e le relazioni intermedia e finale di cui all'articolo 19, paragrafo 4, lettere a), b) e c), del regolamento (UE) 2022/2554 entro i termini seguenti:

a) per la relazione iniziale: quanto prima, ma in ogni caso entro quattro ore dalla classificazione dell'incidente connesso alle TIC come grave ed entro 24 ore dal momento in cui l'entità finanziaria è venuta a conoscenza dell'incidente connesso alle TIC;

b) per la relazione intermedia: al più tardi entro 72 ore dalla trasmissione della notifica iniziale, anche se lo stato o il trattamento dell'incidente non sono cambiati conformemente all'articolo 19, paragrafo 4, lettera b), del regolamento (UE) 2022/2554. Le entità finanziarie trasmettono una relazione intermedia aggiornata senza indebito ritardo e in ogni caso quando sono state riprese le regolari attività;

c) per la relazione finale: entro un mese dalla trasmissione della relazione intermedia o, se del caso, dall'ultima relazione intermedia aggiornata.

2. Se l'entità finanziaria non ha classificato un incidente connesso alle TIC come grave entro 24 ore dal momento in cui ne è venuta a conoscenza, ma lo classifica come grave in una fase successiva, l'entità finanziaria trasmette la notifica iniziale entro quattro ore dalla classificazione dell'incidente connesso alle TIC come grave.

3. Le entità finanziarie che non sono in grado di trasmettere la notifica iniziale, la relazione intermedia o la relazione finale entro i termini di cui al paragrafo 1 ne informano l'autorità competente senza indebito ritardo, e comunque entro i rispettivi termini per la trasmissione della notifica o della relazione, spiegando i motivi del ritardo.

4. Se il termine per la trasmissione di una notifica iniziale, di una relazione intermedia o di una relazione finale cade in un giorno del fine settimana o in un giorno festivo nello Stato membro dell'entità finanziaria che effettua la segnalazione, l'entità finanziaria può trasmettere la notifica iniziale, la relazione intermedia o la relazione finale entro le ore 12:00 del giorno lavorativo successivo.

5. Il paragrafo 4 non si applica alla trasmissione di una notifica iniziale o di una relazione intermedia da parte di enti creditizi, controparti centrali, gestori delle sedi di negoziazione e altre entità finanziarie identificate come soggetti essenziali o importanti ai sensi dell'articolo 3 della direttiva (UE) 2022/2555.

6. Le autorità competenti possono decidere che il paragrafo 4 non si applichi alla trasmissione di una notifica iniziale o di una relazione intermedia da parte di entità finanziarie, diverse da quelle di cui al paragrafo 5, che sono significative o hanno carattere sistemico per il settore finanziario a livello nazionale o dell'Unione. Le autorità competenti notificano la loro decisione alle entità finanziarie individuate. La decisione dell'autorità competente si applica solo agli incidenti segnalati dopo la data di notifica della decisione da parte dell'autorità competente alle entità finanziarie individuate.

Il contenuto della notifica volontaria delle minacce informatiche significative di cui all'articolo 19, paragrafo 2, del regolamento (UE) 2022/2554 comprende tutti gli elementi seguenti:

a) informazioni generali sull'entità finanziaria che effettua la notifica di cui all'articolo 1;

b) la data e l'ora dell'individuazione della minaccia informatica significativa e qualsiasi altra validazione temporale pertinente relativa alla minaccia informatica significativa;

c) una descrizione della minaccia informatica significativa;

d) informazioni relative al potenziale impatto della minaccia informatica significativa sull'entità finanziaria, sui suoi clienti o sulle controparti finanziarie;

e) i criteri di classificazione che avrebbero determinato una segnalazione di incidente grave di cui agli articoli da 1 a 8 del regolamento delegato (UE) 2024/1772 se la minaccia informatica si fosse concretizzata;

f) informazioni sullo stato della minaccia informatica significativa e su eventuali cambiamenti nell'attività di minaccia;

g) se del caso, una descrizione delle azioni adottate dall'entità finanziaria per prevenire il concretizzarsi delle minacce informatiche significative;

h) informazioni su qualsiasi notifica della minaccia informatica significativa ad altre entità finanziarie o autorità;

i) se del caso, informazioni sugli indicatori di compromissione;

j) se disponibile, ogni altra informazione pertinente.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 23 ottobre 2024

Per la Commissione

La presidente

URSULA VON DER LEYEN