Kort fortalt
Finansielle enheder skal klassificere IKT-hændelser og fastslå deres virkning ud fra seks kriterier: antal og betydning af berørte kunder, modparter og transaktioner (og omdømme), varighed og nedetid, geografisk udbredelse, datatab, de berørte tjenesters kritiske betydning og de økonomiske følger. Cybertrusler klassificeres som væsentlige ud fra de udsatte tjenesters betydning, antallet af berørte og den geografiske udbredelse. ESA’erne skal i tekniske standarder præcisere kriterierne, herunder tærsklerne for, hvornår en hændelse er »større« og skal indberettes, og høje tærskler for væsentlige cybertrusler.
Det betyder i praksis
Byg de seks kriterier ind i hændelsesprocessen, så hver hændelse hurtigt får en klassifikation. Tærsklerne, der afgør indberetningspligten, står i de tekniske standarder, ikke i forordningen.
Eksempel
Et nedbrud, der varer flere timer, rammer mange kunders betalinger i flere EU-lande og medfører datatab, peger på flere kriterier mod en større hændelse. Hvor grænsen præcist går, afgør standarderne.
Ofte stillede spørgsmål
Hvornår er en hændelse så alvorlig, at den skal indberettes?
Når den er en større IKT-hændelse, altså en hændelse med stor negativ indvirkning på systemer, der understøtter kritiske eller vigtige funktioner (artikel 3, nr. 10). Væsentlighedstærsklerne fastsættes i de tekniske standarder efter stk. 3, litra a, som ESA'erne skulle forelægge senest den 17. januar 2024. Forordningen angiver ingen tal.
Hvordan klassificeres en trussel i forhold til en hændelse?
En hændelse klassificeres efter sin faktiske virkning (stk. 1). En cybertrussel er derimod ikke indtruffet; den klassificeres som væsentlig ud fra, hvor kritiske de udsatte tjenester er, hvor mange kunder eller modparter der rammes, og hvor langt risikoområdet rækker (stk. 2).
Tages der hensyn til små virksomheder i standarderne?
Ja. ESA'erne skal tage hensyn til proportionalitetskriterierne i artikel 4, stk. 2, og til, at mikrovirksomheder og små og mellemstore virksomheder skal kunne skaffe ressourcer nok til at håndtere hændelser hurtigt (stk. 4).
Relevante betragtninger
Relaterede bestemmelser
- Artikel 17 – Proces for styring af IKT-relaterede hændelser
- Artikel 19 – Indberetning af større IKT-relaterede hændelser
- Artikel 20 – Harmonisering af indholdet af og modeller for indberetninger
Den officielle ordlyd
Artikel 18
- De finansielle enheder klassificerer IKT-relaterede hændelser og fastslår deres virkninger på grundlag af følgende kriterier:
a) | antallet og/eller relevansen af kunder eller finansielle modparter, som er berørt, og, hvis det er relevant, beløbet på eller antallet af de transaktioner, som er berørt af den IKT-relaterede hændelse, og hvorvidt den IKT-relaterede hændelse har haft indvirkning på omdømmet |
b) | varigheden af den IKT-relaterede hændelse, herunder tjenestens nedetid |
c) | den geografiske udbredelse med hensyn til de områder, der er berørt af den IKT-relaterede hændelse, navnlig hvis den berører mere end to medlemsstater |
d) | de datatab, som den IKT-relaterede hændelse medfører med hensyn til tilgængelighed, autenticitet, integritet eller fortrolighed af data |
e) | den kritiske betydning af de berørte tjenester, herunder den finansielle enheds transaktioner og operationer |
f) | de økonomiske virkninger, navnlig direkte og indirekte omkostninger og tab, af den IKT-relaterede hændelse i både absolutte og relative tal. |
-
De finansielle enheder klassificerer cybertrusler som væsentlige på grundlag af de udsatte tjenesters kritiske betydning, herunder den finansielle enheds transaktioner og operationer, antallet og/eller relevansen af de kunder eller finansielle modparter, som rammes, og risikoområdernes geografiske udbredelse.
-
ESA’erne udarbejder via Det Fælles Udvalg og i samråd med ECB og ENISA fælles udkast til reguleringsmæssige tekniske standarder, som yderligere præciserer følgende:
a) | kriterierne i stk. 1, herunder væsentlighedstærskler til bestemmelse af større IKT-relaterede hændelser eller, alt efter hvad der er relevant, større operationelle eller sikkerhedsmæssige betalingsrelaterede hændelser, som er omfattet af indberetningspligten i artikel 19, stk. 1 |
b) | de kriterier, som de kompetente myndigheder skal anvende med henblik på at vurdere relevansen af større IKT-relaterede hændelser eller, alt efter hvad der er relevant, af større operationelle eller sikkerhedsmæssige betalingsrelaterede hændelser, for de relevante myndigheder i andre medlemsstater, og de nærmere oplysninger i rapporterne om større IKT-relaterede hændelser eller, alt efter hvad der er relevant, større operationelle eller sikkerhedsmæssige betalingsrelaterede hændelser, som skal udveksles med andre kompetente myndigheder i henhold til artikel 19, stk. 6 og 7 |
c) | kriterierne i denne artikels stk. 2, herunder høje væsentlighedstærskler til bestemmelse af væsentlige cybertrusler. |
- Når ESA’erne udarbejder de i denne artikels stk. 3 omhandlede fælles udkast til reguleringsmæssige tekniske standarder, tager de hensyn til kriterierne i artikel 4, stk. 2, samt de internationale standarder, den vejledning og de specifikationer, der er udarbejdet og offentliggjort af ENISA, herunder, hvor det er relevant, specifikationer for andre økonomiske sektorer. Med henblik på anvendelse af kriterierne i artikel 4, stk. 2, tager ESA’erne behørigt hensyn til behovet for, at mikrovirksomheder og små og mellemstore virksomheder mobiliserer tilstrækkelige ressourcer og kapaciteter til at sikre, at IKT-relaterede hændelser håndteres hurtigt.
ESA’erne forelægger disse fælles udkast til reguleringsmæssige tekniske standarder for Kommissionen senest den 17. januar 2024.
Kommissionen tillægges beføjelse til at supplere denne forordning ved at vedtage de i stk. 3 omhandlede reguleringsmæssige tekniske standarder i overensstemmelse med artikel 10-14 i forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010.
Den officielle danske tekst følger 2022-12-27 (32022R2554).