Kort fortalt
Artiklen pålægger ESA’erne i samråd med ENISA og ECB at udarbejde tekniske standarder for indberetningerne. De reguleringsmæssige standarder (RTS) skal fastlægge indholdet af indberetninger om større hændelser, fristerne for den indledende underretning og hver rapport efter artikel 19, stk. 4, og indholdet af underretning om væsentlige cybertrusler. De gennemførelsesmæssige standarder (ITS) skal fastlægge standardformularer, modeller og procedurer. Udkastene skulle forelægges senest den 17. juli 2024, og ESA’erne skal tage hensyn til sektorforskelle og begrunde afvigelser fra NIS2-tilgangen.
Det betyder i praksis
Artiklen retter sig mod ESA’erne, ikke mod virksomhederne. Fristerne og formularerne, I skal bruge ved indberetning, står i de vedtagne standarder, og dem må I slå op der.
Ofte stillede spørgsmål
Hvad er forskellen på RTS og ITS?
RTS er reguleringsmæssige tekniske standarder, som Kommissionen vedtager for at supplere forordningen efter artikel 10–14 i ESA-forordningerne, her om indhold og frister. ITS er gennemførelsesmæssige standarder efter artikel 15 i ESA-forordningerne, her om standardformularer og procedurer. Begge udarbejdes først som fælles udkast af ESA'erne.
Er indberetningsskemaet det samme som under NIS2?
Det siger artiklen ikke. ESA'erne skal sikre en konsekvent tilgang til indberetning efter DORA og NIS2 og i givet fald begrunde, hvis de afviger fra NIS2's tilgang (stk. 1, litra a). Hvilke formularer der gælder, står i de vedtagne standarder.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 18 – Klassificering af IKT-relaterede hændelser og cybertrusler
- Artikel 19 – Indberetning af større IKT-relaterede hændelser
Den officielle ordlyd
Artikel 20
ESA’erne udarbejder via Det Fælles Udvalg og i samråd med ENISA og ECB følgende:
a) | fælles udkast til reguleringsmæssige tekniske standarder med henblik på:
Når ESA'erne udarbejder disse udkast til reguleringsmæssige tekniske standarder, tager de hensyn til den finansielle enheds størrelse og samlede risikoprofil og karakteren, omfanget og kompleksiteten af dens tjenester, aktiviteter og operationer, navnlig med henblik på at sikre, at forskellige frister, jf. dette stykkes litra a), nr. ii), alt efter hvad der er relevant, kan afspejle særlige forhold i de finansielle sektorer, uden at det berører opretholdelsen af en konsekvent tilgang til indberetning af IKT-relaterede hændelser i henhold til denne forordning og til direktiv (EU) 2022/2555 ESA'erne skal, alt efter hvad der er relevant, begrunde, hvis de afviger fra de tilgange, der er anlagt i forbindelse med nævnte direktiv |
b) | fælles udkast til gennemførelsesmæssige tekniske standarder for at fastlægge standardformularer, -modeller og -procedurer, som de finansielle enheder skal bruge til indberetning af en større IKT-relateret hændelse og til underretning om en væsentlig cybertrussel. |
ESA’erne forelægger det fælles udkast til reguleringsmæssige tekniske standarder, der er omhandlet i stk. 1, litra a), og det fælles udkast til gennemførelsesmæssige tekniske standarder, der er omhandlet stk. 1, litra b), for Kommissionen senest den 17. juli 2024.
Kommissionen tillægges beføjelse til at supplere denne forordning ved at vedtage de fælles reguleringsmæssige tekniske standarder, der er omhandlet i stk. 1, litra a), i overensstemmelse med artikel 10-14 i forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010.
Kommissionen tillægges beføjelse til at vedtage de fælles gennemførelsesmæssige tekniske standarder, der er omhandlet i stk. 1, litra b), i overensstemmelse med artikel 15 i forordning (EU) nr. 1093/2010, (EU) nr. 1094/2010 og (EU) nr. 1095/2010.
Den officielle danske tekst følger 2022-12-27 (32022R2554).