Reglamento Delegado (UE) 2024/1772 de la Comisión, de 13 de marzo de 2024, por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo mediante normas técnicas de regulación que especifican los criterios para la clasificación de los incidentes relacionados con las TIC y las ciberamenazas, establecen umbrales de importancia relativa y especifican la información detallada de las notificaciones de incidentes graves

1 El número de clientes afectados por el incidente a que se refiere el artículo 18, apartado 1, letra a), del Reglamento (UE) 2022/2554 reflejará el número de todos los clientes afectados, ya sean personas físicas o jurídicas, que no puedan, o no hayan podido, utilizar el servicio prestado por la entidad financiera durante el incidente o que se hayan visto afectados negativamente por el incidente. Dicho número incluirá también a terceros que estén expresamente cubiertos por el acuerdo contractual entre la entidad financiera y el cliente como beneficiarios del servicio afectado.

2 El número de contrapartes financieras afectadas por el incidente a que se refiere el artículo 18, apartado 1, letra a), del Reglamento (UE) 2022/2554 reflejará el número de todas las contrapartes financieras afectadas que hayan celebrado un acuerdo contractual con la entidad financiera.

3 En relación con la pertinencia de los clientes y las contrapartes financieras afectados por el incidente a que se refiere el artículo 18, apartado 1, letra a), del Reglamento (UE) 2022/2554, la entidad financiera tendrá en cuenta la medida en que los efectos para un cliente o contraparte financiera incidirán en la consecución de los objetivos empresariales de la entidad financiera, así como el posible efecto del incidente en la eficiencia del mercado.

4 En relación con la cantidad o el número de transacciones afectadas por el incidente a que se refiere el artículo 18, apartado 1, letra a), del Reglamento (UE) 2022/2554, la entidad financiera tendrá en cuenta todas las transacciones afectadas que impliquen un importe monetario cuando al menos una parte de la transacción se lleve a cabo en la Unión.

5 Cuando no pueda determinarse el número real de clientes o contrapartes financieras afectados o el número o la cantidad reales de las transacciones afectadas, la entidad financiera estimará dicho número o dicha cantidad sobre la base de los datos disponibles de períodos de referencia comparables.

1 A efectos de determinar la repercusión en la reputación del incidente a que se refiere el artículo 18, apartado 1, letra a), del Reglamento (UE) 2022/2554, las entidades financieras considerarán que el incidente ha repercutido en la reputación cuando se cumpla al menos uno de los criterios siguientes: a) el incidente se ha reflejado en los medios de comunicación; b) el incidente ha dado lugar a quejas reiteradas de distintos clientes o contrapartes financieras sobre servicios de cara al cliente o relaciones comerciales esenciales; c) la entidad financiera no podrá cumplir los requisitos reglamentarios, o es probable que no pueda cumplirlos, como consecuencia del incidente; d) la entidad financiera perderá, o es probable que pierda, clientes o contrapartes financieras como consecuencia del incidente, lo que acarreará consecuencias importantes para sus actividades.

2 Al evaluar la repercusión en la reputación del incidente, las entidades financieras tendrán en cuenta el nivel de visibilidad que el incidente haya alcanzado o pueda alcanzar en relación con cada uno de los criterios enumerados en el apartado 1.

1 Las entidades financieras medirán la duración del incidente a que se refiere el artículo 18, apartado 1, letra b), del Reglamento (UE) 2022/2554, desde el momento en que se produzca el incidente hasta el momento en que se resuelva. Cuando las entidades financieras no puedan determinar el momento en que se haya producido el incidente, medirán la duración del incidente desde el momento en que se detectase. Cuando las entidades financieras tengan conocimiento de que el incidente se ha producido antes de su detección, medirán la duración desde el momento en que se registre el incidente en registros de redes o sistemas o en otras fuentes de datos. Cuando las entidades financieras aún no sepan cuándo se resolverá el incidente o no puedan verificar los datos en los registros o en otras fuentes de datos, realizarán estimaciones.

2 Las entidades financieras medirán la duración de la interrupción del servicio derivada de los incidentes a que se refiere el artículo 18, apartado 1, letra b), del Reglamento (UE) 2022/2554, desde el momento en que el servicio no esté disponible total o parcialmente para los clientes, las contrapartes financieras u otros usuarios internos o externos hasta el momento en que se restablezcan las actividades u operaciones regulares al nivel de servicio que se prestaba antes del incidente. Cuando la interrupción del servicio provoque retrasos en la prestación del servicio después de que se hayan restablecido las actividades u operaciones regulares, la duración de la interrupción del servicio se medirá desde el inicio del incidente hasta el momento en que el servicio que haya sufrido un retraso se preste en su totalidad. Cuando las entidades financieras no puedan determinar el momento en que se haya iniciado la interrupción del servicio, medirán la duración de la interrupción del servicio desde el momento en que se detecte.

A efectos de determinar la extensión geográfica con respecto a las zonas afectadas por el incidente a que se refiere el artículo 18, apartado 1, letra c), del Reglamento (UE) 2022/2554, las entidades financieras evaluarán si el incidente tiene o ha tenido consecuencias en otros Estados miembros y, en particular, la importancia de dichas consecuencias en lo que respecta a: a) los clientes y las contrapartes financieras de otros Estados miembros; b) las sucursales u otras entidades financieras del grupo que lleven a cabo actividades en otros Estados miembros; c) las infraestructuras de los mercados financieros o los proveedores terceros que puedan afectar a entidades financieras en otros Estados miembros a las que presten servicios, en la medida en que se disponga de tal información.

A efectos de determinar las pérdidas de datos que acarrea el incidente a que se refiere el artículo 18, apartado 1, letra d), del Reglamento (UE) 2022/2554, las entidades financieras tendrán en cuenta lo siguiente: a) en relación con la disponibilidad de los datos, si el incidente ha hecho que los datos solicitados por la entidad financiera, sus clientes o sus contrapartes sean inaccesibles o inutilizables de forma temporal o permanente; b) en relación con la autenticidad de los datos, si el incidente ha puesto en peligro la fiabilidad de la fuente de los datos; c) en relación con la integridad de los datos, si el incidente ha dado lugar a una modificación no autorizada de datos que haya hecho que dichos datos sean inexactos o incompletos; d) en relación con la confidencialidad de los datos, si el incidente ha dado lugar a que una parte o un sistema no autorizado haya tenido acceso a los datos o los haya divulgado.

A efectos de determinar el carácter esencial de los servicios afectados a que se refiere el artículo 18, apartado 1, letra e), del Reglamento (UE) 2022/2554, las entidades financieras evaluarán si el incidente: a) afecta o ha afectado a servicios de TIC o redes y sistemas de información que sustenten funciones esenciales o importantes de la entidad financiera; b) afecta o ha afectado a servicios financieros prestados por ellas que requieran una autorización o un registro o que sean supervisados por las autoridades competentes; c) constituye o ha constituido un acceso efectivo, malintencionado y no autorizado a las redes y sistemas de información de la entidad financiera.

1 A efectos de determinar las consecuencias económicas del incidente a que se refiere el artículo 18, apartado 1, letra f), del Reglamento (UE) 2022/2554, las entidades financieras tendrán en cuenta, sin contabilizar las recuperaciones financieras, los siguientes tipos de costes y pérdidas directos e indirectos que hayan sufrido como consecuencia del incidente: a) los fondos o los activos financieros expropiados de los que sean responsables, incluidos los activos perdidos como consecuencia de un robo; b) los costes de sustitución o reubicación de software, hardware o infraestructuras; c) los gastos de personal, incluidos los costes relacionados con la sustitución o la reubicación de personal, la contratación de personal suplementario, la remuneración de las horas extraordinarias y la recuperación de las competencias perdidas o mermadas; d) los desembolsos por incumplimiento de las obligaciones contractuales; e) los costes de reparación y de indemnización a los clientes; f) las pérdidas por lucro cesante; g) los costes asociados a la comunicación interna y externa; h) los costes de asesoramiento, incluidos los relacionados con el asesoramiento jurídico, los servicios forenses y los servicios de reparación.

2 Los costes y pérdidas a que se refiere el apartado 1 no incluirán los costes necesarios para el funcionamiento diario de la empresa, en particular: a) los costes de mantenimiento general de las infraestructuras, los equipos, el hardware y el software, así como los costes de actualización de las competencias del personal; b) los costes internos o externos dedicados a mejorar la actividad después del incidente, incluidas las actualizaciones, las mejoras y las iniciativas relacionadas con la evaluación de riesgos; c) las primas de seguros.

3 Las entidades financieras calcularán los importes de los costes y las pérdidas sobre la base de los datos disponibles en el momento de la notificación. Cuando no puedan determinarse los importes reales de los costes y las pérdidas, las entidades financieras los estimarán.

4 Al evaluar las consecuencias económicas del incidente, las entidades financieras sumarán los costes y las pérdidas a que se refiere el apartado 1.

1 Un incidente se considerará un incidente grave a efectos del artículo 19, apartado 1, del Reglamento (UE) 2022/2554 cuando haya afectado a los servicios esenciales a que se refiere el artículo 6 y se cumpla alguna de las condiciones siguientes: a) si se alcanza el umbral de importancia relativa a que se refiere el artículo 9, apartado 5, letra b); b) si se cumplen dos o más de los demás umbrales de importancia relativa a que se refiere el artículo 9, apartados 1 a 6.

2 Los incidentes recurrentes que no se consideren individualmente un incidente grave en el sentido del apartado 1 se considerarán un incidente grave cuando cumplan todas las condiciones siguientes: a) si se han producido al menos dos veces en un plazo de seis meses; b) si tienen la misma causa subyacente aparente, tal como se contempla en el artículo 20, párrafo primero, letra b), del Reglamento (UE) 2022/2554; c) si se cumplen colectivamente los criterios para ser considerados un incidente grave enumerados en el apartado 1. Las entidades financieras evaluarán mensualmente la existencia de incidentes recurrentes. El presente apartado no se aplicará a las microempresas ni a las entidades financieras enumeradas en el artículo 16, apartado 1, del Reglamento (UE) 2022/2554.

1 Se alcanzará el umbral de importancia relativa para el criterio «clientes, contrapartes financieras y transacciones» cuando se cumpla cualquiera de las condiciones siguientes: a) cuando el número de clientes afectados sea superior al 10 % del conjunto de los clientes que utilizan el servicio afectado; b) el número de clientes afectados que utilizan el servicio afectado sea superior a 100000; c) el número de contrapartes financieras afectadas sea superior al 30 % del conjunto de las contrapartes financieras que llevan a cabo actividades relacionadas con la prestación del servicio afectado; d) el número de transacciones afectadas sea superior al 10 % del número medio diario de las transacciones realizadas por la entidad financiera relacionadas con el servicio afectado; e) la cantidad de transacciones afectadas sea superior al 10 % del valor medio diario de las transacciones realizadas por la entidad financiera relacionadas con el servicio afectado; f) se hayan visto afectados los clientes o las contrapartes financieras que se hayan considerado pertinentes con arreglo a lo establecidos en el artículo 1, apartado 3. Cuando no pueda determinarse el número real de clientes o contrapartes financieras afectados o el número o la cantidad reales de las transacciones afectadas, la entidad financiera estimará dicho número o dicha cantidad sobre la base de los datos disponibles de períodos de referencia comparables.

2 Se alcanzará el umbral de importancia relativa para el criterio «repercusión en la reputación» cuando se cumpla cualquiera de las condiciones establecidas en el artículo 2, letras a) a d).

3 Se alcanzará el umbral de importancia relativa para el criterio «duración del incidente y duración de la interrupción del servicio» cuando se cumpla cualquiera de las condiciones siguientes: a) cuando la duración del incidente sea superior a 24 horas; b) cuando la duración de la interrupción del servicio sea superior a dos horas en el caso de los servicios de TIC que sustenten funciones esenciales o importantes.

4 Se alcanzará el umbral de importancia relativa para el criterio de «extensión geográfica» cuando el incidente tenga consecuencias en dos o más Estados miembros de conformidad con lo establecido en el artículo 4.

5 Se alcanzará el umbral de importancia relativa para el criterio «pérdidas de datos» cuando se cumpla cualquiera de las condiciones siguientes: a) cuando la incidencia sobre la disponibilidad, la autenticidad, la integridad o la confidencialidad de los datos a que se refiere el artículo 5 tenga o vaya a tener efectos negativos en la consecución de los objetivos empresariales de la entidad financiera o en su capacidad para cumplir los requisitos reglamentarios; b) cuando las redes y los sistemas de información sean objeto de un acceso efectivo, malintencionado y no autorizado no contemplado en la letra a), cuando dicho acceso pueda dar lugar a pérdidas de datos.

6 Se alcanzará el umbral de importancia relativa para el criterio «consecuencias económicas» cuando los costes y las pérdidas sufridas por la entidad financiera debido al incidente hayan superado o probablemente puedan superar los 100000 EUR.

A efectos del artículo 18, apartado 2, del Reglamento (UE) 2022/2554, una ciberamenaza se considerará importante cuando se cumplan todas las condiciones siguientes: a) cuando la ciberamenaza, si se materializa, pueda afectar o podría haber afectado a funciones esenciales o importantes de la entidad financiera, o pueda afectar a otras entidades financieras, proveedores terceros, clientes o contrapartes financieras, según la información de que disponga la entidad financiera; b) cuando la ciberamenaza tenga una alta probabilidad de materializarse en la entidad financiera o en otras entidades financieras, teniendo en cuenta al menos los siguientes elementos: i) los riesgos aplicables relacionados con la ciberamenaza a que se refiere la letra a), incluidas las posibles vulnerabilidades de los sistemas de la entidad financiera que puedan explotarse, ii) las capacidades y la intención de los agentes de amenazas en la medida en que las conozca la entidad financiera, iii) la persistencia de la amenaza y cualquier conocimiento adquirido sobre incidentes que hayan afectado a la entidad financiera o a su proveedor tercero, clientes o contrapartes financieras; c) cuando la ciberamenaza, si se materializa, pueda cumplir o alcanzar uno de los siguientes criterios o umbrales: i) el criterio relativo al carácter esencial de los servicios establecido en el artículo 18, apartado 1, letra e), del Reglamento (UE) 2022/2554, tal como se especifica en el artículo 6 del presente Reglamento, ii) el umbral de importancia relativa establecido en el artículo 9, apartado 1, iii) el umbral de importancia relativa establecido en el artículo 9, apartado 4. Cuando, en función del tipo de ciberamenaza y de la información disponible, la entidad financiera concluya que podrían alcanzarse los umbrales de importancia relativa establecidos en el artículo 9, apartados 2, 3, 5 y 6, podrán tenerse en cuenta también dichos umbrales.

La evaluación de si el incidente grave es pertinente para las autoridades competentes de otros Estados miembros, de conformidad con el artículo 19, apartado 7, del Reglamento (UE) 2022/2554, se basará en si el incidente tiene una causa subyacente que tiene su origen en otro Estado miembro o si el incidente tiene o ha tenido una repercusión significativa en otro Estado miembro en relación con: a) clientes o contrapartes financieras; b) una sucursal de la entidad financiera u otra entidad financiera del grupo; c) una infraestructura de los mercados financieros o un proveedor tercero que pueda afectar a entidades financieras a las que prestan servicios.

Los datos de los incidentes graves que deben presentar las autoridades competentes a otras autoridades competentes de conformidad con el artículo 19, apartado 6, del Reglamento (UE) 2022/2554 y las notificaciones que deben presentar la ABE, la AEVM o la AESPJ y el BCE a las autoridades competentes pertinentes de otros Estados miembros de conformidad con el artículo 19, apartado 7, de dicho Reglamento contendrán la misma cantidad de información, sin anonimización alguna, que las notificaciones e informes de incidentes graves recibidos de las entidades financieras de conformidad con el artículo 19, apartado 4, del Reglamento (UE) 2022/2554.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.