Regulamentul (UE) 2022/2554 obligă entitățile financiare să raporteze incidentele majore legate de TIC autorității competente relevante, în termene fixe. Mai jos: criteriile de clasificare, cele trei termene, modelele armonizate și canalul de transmitere.
Capitolul III din DORA cere fiecărei entități financiare un proces de gestionare a incidentelor legate de TIC: detectare, înregistrare, clasificare, tratare, raportare. Obligația centrală este la articolul 19: un incident major legat de TIC se raportează autorității competente relevante.
Sunt trei fluxuri care nu se substituie: incidentele majore, amenințările semnificative și registrul de informații, o raportare anuală separată. Context: ce prevede DORA și standardele tehnice.
Regulamentul delegat (UE) 2024/1772 stabilește criteriile și pragurile prevăzute la articolul 18. Sunt șapte:
Criteriile se citesc împreună, nu separat: incidentul este major când sunt afectate serviciile critice și sunt atinse două criterii principale, ori unul singur plus pragul economic. Păstrați urma scrisă a evaluării: ea justifică și decizia de a nu raporta.
Termenele și conținutul vin din Regulamentul delegat (UE) 2025/301, formularele din Regulamentul de punere în aplicare (UE) 2025/302.
| Raport | Termen | Conținut |
|---|---|---|
| Notificarea inițială | la 4 ore de la clasificarea ca major și în cel mult 24 de ore de la luarea la cunoștință | identificarea entității, natura incidentului, serviciile afectate |
| Raportul intermediar | în 72 de ore de la notificarea inițială, apoi la fiecare schimbare semnificativă | evoluția, impactul asupra clienților și tranzacțiilor, măsurile de limitare |
| Raportul final | în cel mult o lună de la raportul intermediar | analiza cauzelor principale, impactul total, măsurile corective |
Ceasul de 4 ore pornește de la clasificare, nu de la detectare, iar clasificarea se face fără întârzieri nejustificate. Consemnați ora deciziei: de la ea se numără tot restul.
Modelele sunt aceleași în toată Uniunea și se reiau de la o etapă la alta: ce se completează la notificarea inițială se duce mai departe în rapoartele următoare.
Structurați aceste câmpuri în documentația de răspuns înainte de a avea nevoie de ele. Generatorul de rapoarte pregătește ciornele pe structura oficială (interfață în engleză).
Raportul se transmite autorității competente relevante desemnate potrivit articolului 46, nu direct autorităților europene. În România aceasta este Banca Națională a României pentru instituțiile de credit și de plată, respectiv Autoritatea de Supraveghere Financiară pentru piața de capital, asigurări și pensii private.
Potrivit articolului 19, autoritatea competentă transmite informațiile mai departe, după caz către autoritatea europeană de supraveghere competentă, către BCE pentru instituțiile de credit semnificative și către echipele CSIRT. Stabiliți din timp canalul tehnic și treceți accesul la el în planul de răspuns: multe raportări întârzie fiindcă, la ora incidentului, nimeni nu are credențialele portalului.
Articolul 19 alineatul (2) permite entităților financiare să notifice amenințările cibernetice semnificative pe care le consideră relevante pentru sistemul financiar, pentru utilizatori sau pentru clienți. Notificarea este voluntară și nu înlocuiește raportarea obligatorie a incidentelor majore.
Sunt vizate amenințările ale căror caracteristici tehnice arată că ar putea produce un incident major: tactici îndreptate spre funcțiile critice sau importante, semne de iminență precum recunoașterea activă, ori potențial de propagare transfrontalieră. Se folosește același canal ca pentru incidente, cu modelul de notificare a amenințărilor. Decizia câștigă dacă se ia pe criterii scrise.
Pregătiți ciornele rapoartelor de incident →
Trei etape: notificarea inițială la 4 ore de la clasificarea ca major și în cel mult 24 de ore de la luarea la cunoștință, raportul intermediar în 72 de ore de la notificarea inițială, raportul final în cel mult o lună de la acesta.
Regulamentul delegat (UE) 2024/1772 fixează șapte criterii: clienții și tranzacțiile afectate, impactul reputațional, durata și indisponibilitatea, răspândirea geografică, pierderile de date, caracterul critic al serviciilor și impactul economic. Incidentul este major când sunt afectate serviciile critice și sunt atinse două criterii principale, ori unul plus pragul economic.
Autorității competente relevante desemnate potrivit articolului 46: Banca Națională a României pentru instituțiile de credit și de plată, respectiv Autoritatea de Supraveghere Financiară pentru piața de capital, asigurări și pensii private.
Cele armonizate prin Regulamentul delegat (UE) 2025/301 și Regulamentul de punere în aplicare (UE) 2025/302, aceleași de la notificarea inițială la raportul final.
Da, atunci când incidentul major le afectează interesele financiare. Articolul 19 alineatul (3) cere informarea clienților fără întârzieri nejustificate, cu măsurile luate pentru limitarea efectelor. Este o obligație separată de raportarea către autoritate.
Nu. Registrul de informații privind acordurile cu furnizori terți de servicii TIC este o raportare anuală separată, în format xBRL-CSV (ITS 2024/2956), transmisă autorității competente până la 30 aprilie.
Nerespectarea termenelor încalcă articolul 19. Articolul 50 lasă sancțiunile administrative în seama statelor membre, care prevăd măsuri eficace, proporționale și disuasive; regulamentul nu fixează un plafon la nivelul Uniunii pentru entitățile financiare.
Această pagină este un sprijin profesional, nu consultanță juridică. · Versiunea în engleză