1. Le entità finanziarie utilizzano il modello di cui all'allegato I per trasmettere la notifica iniziale, la relazione intermedia e la relazione finale di cui all'articolo 19, paragrafo 4, del regolamento (UE) 2022/2554 come segue:

a) le entità finanziarie che presentano una notifica iniziale compilano i campi di dati del modello che corrispondono alle informazioni da fornire a norma dell'articolo 2 del regolamento delegato (UE) 2025/301 della Commissione (1) e possono, qualora dispongano già di tali informazioni, completare i campi di dati la cui compilazione non è richiesta per una notifica iniziale ma è richiesta per una relazione intermedia o finale;

b) le entità finanziarie che presentano una relazione intermedia compilano i campi di dati del modello che corrispondono alle informazioni da fornire a norma dell'articolo 3 del regolamento delegato (UE) 2025/301 e possono, qualora dispongano già di tali informazioni, completare i campi di dati la cui compilazione non è richiesta per la relazione intermedia ma è richiesta per la relazione finale.

c) le entità finanziarie che presentano una relazione finale compilano i campi di dati del modello che corrispondono alle informazioni da fornire a norma dell'articolo 4 del regolamento delegato (UE) 2025/301

2. Le entità finanziarie garantiscono che le informazioni contenute nella notifica iniziale, nella relazione intermedia e nella relazione finale siano complete e accurate.

3. Le entità finanziarie forniscono stime dei valori sulla base di altri dati e informazioni disponibili, nella misura del possibile, qualora non siano disponibili dati accurati al momento della trasmissione della notifica iniziale o della relazione intermedia.

4. All'atto della trasmissione di una relazione intermedia o finale, le entità finanziarie utilizzano il modello di cui all'allegato I per fornire tutte le informazioni richieste e aggiornare, se del caso, le informazioni precedentemente fornite nella notifica iniziale o nella relazione intermedia.

5. All'atto della compilazione del modello di cui all'allegato I le entità finanziarie seguono il glossario dei dati e le istruzioni di cui all'allegato II.

Le entità finanziarie possono combinare la presentazione della notifica iniziale, della relazione intermedia e della relazione finale per fornire due o tutte le informazioni contemporaneamente, qualora siano riprese le attività regolari o sia stata completata l'analisi delle cause profonde e purché siano rispettati i termini di cui all'articolo 5 del regolamento delegato (UE) 2025/301

Le entità finanziarie che forniscono informazioni su incidenti ricorrenti connessi alle TIC non gravi che soddisfano cumulativamente le condizioni per la sussistenza di un incidente grave connesso alle TIC di cui all'articolo 8, paragrafo 2, del regolamento delegato (UE) 2024/1772 trasmettono tali informazioni in forma aggregata.

1. Le entità finanziarie utilizzano canali elettronici sicuri messi a disposizione dalla rispettiva autorità competente per la trasmissione della notifica iniziale e delle relazioni intermedia e finale.

2. Le entità finanziarie che non sono in grado di utilizzare i canali elettronici sicuri messi a disposizione dalla rispettiva autorità competente informano la propria autorità competente in merito a un incidente grave connesso alle TIC mediante altri mezzi sicuri, d'intesa con l'autorità competente. Se richiesto dall'autorità competente, le entità finanziarie trasmettono nuovamente la notifica iniziale oppure la relazione intermedia o finale, attraverso il canale elettronico sicuro messo a disposizione dalla rispettiva autorità competente appena sono in grado di farlo.

Se, dopo un'ulteriore valutazione, l'entità finanziaria conclude che l'incidente connesso alle TIC precedentemente segnalato come grave non soddisfaceva in alcun momento i criteri e le soglie di classificazione di cui all'articolo 8 del regolamento delegato (UE) 2024/1772, l'entità finanziaria notifica all'autorità competente di aver riclassificato l'incidente connesso alle TIC da grave a non grave fornendo le informazioni relative a tale riclassificazione nel modello di cui all'allegato II del presente regolamento nei campi «tipo di segnalazione» e «altre informazioni».

1. Le entità finanziarie che hanno esternalizzato l'obbligo di segnalazione degli incidenti gravi connessi alle TIC a norma dell'articolo 19, paragrafo 5, del regolamento (UE) 2022/2554 informano l'autorità competente di tale accordo di esternalizzazione non appena quest'ultimo è stato concluso e al più tardi prima della prima notifica o relazione.

2. Le entità finanziarie forniscono all'autorità competente il nome, le informazioni di contatto e il codice identificativo del terzo che trasmetterà per loro conto le notifiche o le relazioni in merito agli incidenti gravi connessi alle TIC.

3. Le entità finanziarie informano la rispettiva autorità competente non appena cessano di esternalizzare i propri obblighi di segnalazione di cui all'articolo 19, paragrafo 5, del regolamento (UE) 2022/2554.

1. Un fornitore terzo di servizi cui sono stati esternalizzati obblighi di segnalazione conformemente all'articolo 19, paragrafo 5, del regolamento (UE) 2022/2554 può utilizzare il modello di cui all'allegato I del presente regolamento per fornire informazioni aggregate in merito a un incidente grave connesso alle TIC che ha un impatto su più entità finanziarie in un'unica notifica o relazione e trasmettere tale notifica o relazione all'autorità competente per conto di tutte le entità finanziarie interessate, purché siano soddisfatte tutte le condizioni seguenti:

a) l'incidente grave connesso alle TIC da segnalare ha origine presso un fornitore terzo di servizi TIC o è causato da quest'ultimo;

b) il fornitore terzo di servizi presta il servizio TIC pertinente a più di un'entità finanziaria o a un gruppo;

c) l'incidente connesso alle TIC è classificato come grave da ciascuna entità finanziaria interessata nella notifica o relazione aggregata;

d) l'incidente grave connesso alle TIC interessa entità finanziarie all'interno di un unico Stato membro e la relazione aggregata si riferisce a entità finanziarie sottoposte alla vigilanza della medesima autorità competente;

e) le autorità competenti hanno esplicitamente consentito a questo tipo di entità finanziarie di aggregare le loro segnalazioni.

2. Il paragrafo 1 non si applica agli enti creditizi considerati significativi di cui all'articolo 2, punto 16), del regolamento (UE) n. 468/2014 della Banca centrale europea (1), ai gestori delle sedi di negoziazione e alle controparti centrali, che utilizzano il modello di cui all'allegato I solo per trasmettere notifiche o relazioni individuali in merito a incidenti gravi connessi alle TIC alla rispettiva autorità competente.

3. Qualora le autorità competenti richiedano informazioni sull'impatto individuale dell'incidente grave connesso alle TIC su un'unica entità finanziaria, su richiesta dell'autorità competente l'entità finanziaria trasmette una notifica o una relazione individuale in merito all'incidente grave connesso alle TIC.

1. Le entità finanziarie che notificano minacce informatiche significative alle autorità competenti a norma dell'articolo 19, paragrafo 2, del regolamento (UE) 2022/2554 utilizzano il modello di cui all'allegato III del presente regolamento e seguono il glossario dei dati e le istruzioni di cui all'allegato IV del presente regolamento.

2. Le entità finanziarie garantiscono che le informazioni contenute nella notifica delle minacce informatiche significative siano complete e accurate.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 23 ottobre 2024

Per la Commissione

La presidente

URSULA VON DER LEYEN