Reglamento Delegado (UE) 2025/301 de la Comisión, de 23 de octubre de 2024, por el que se completa el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo en lo que respecta a las normas técnicas de regulación que especifican el contenido y los plazos para la notificación inicial y los informes intermedio y final sobre incidentes graves relacionados con las TIC, así como el contenido de la notificación voluntaria de ciberamenazas importantes

Las entidades financieras incluirán en la notificación inicial, el informe intermedio y el informe final a que se refiere el artículo 19, apartado 4, del Reglamento (UE) 2022/2554 la siguiente información general: a) el tipo de presentación (notificación inicial, informe intermedio o informe final); b) el nombre de la entidad financiera, su código LEI y el tipo de entidad financiera a que se refiere el artículo 2, apartado 1, del Reglamento (UE) 2022/2554; c) el nombre y el código de identificación de la entidad que presenta la notificación inicial, o el informe intermedio o final, en nombre de la entidad financiera; d) cuando proceda, los nombres y códigos LEI de todas las entidades financieras cubiertas por la notificación inicial agregada o el informe intermedio o final agregado; e) los datos de contacto de las personas responsables de comunicarse con la autoridad competente sobre el incidente grave relacionado con las TIC; f) cuando proceda, la identificación de la empresa matriz del grupo al que pertenece la entidad financiera; g) cuando se produzcan repercusiones monetarias, la moneda en la que se basan los importes.

Las notificaciones iniciales a que se refiere el artículo 19, apartado 4, letra a), del Reglamento (UE) 2022/2554 contendrán al menos toda la información específica siguiente: a) el código de referencia del incidente asignado por la entidad financiera; b) la fecha y la hora de detección del incidente y su clasificación con arreglo al artículo 8 del Reglamento Delegado de la Comisión (UE) 2024/1772 ; c) una descripción del incidente relacionado con las TIC; d) los criterios, establecidos en los artículos 1 a 8 del Reglamento Delegado (UE) 2024/1772, sobre cuya base la entidad financiera clasificó el incidente relacionado con las TIC como grave; e) los Estados miembros afectados por el incidente relacionado con las TIC; f) información sobre cómo se descubrió el incidente relacionado con las TIC; g) cuando se disponga de ella, información sobre el origen del incidente relacionado con las TIC; h) información sobre si la entidad financiera ha activado un plan de continuidad de la actividad; i) cuando proceda, información sobre la reclasificación del incidente relacionado con las TIC de grave a no grave; j) cuando se disponga de ella, cualquier otra información pertinente.

Los informes intermedios a que se refiere el artículo 19, apartado 4, letra b), del Reglamento (UE) 2022/2554 contendrán al menos toda la información específica siguiente: a) cuando proceda, el código de referencia del incidente facilitado por la autoridad competente; b) la fecha y la hora en que se produjo el incidente relacionado con las TIC; c) cuando proceda, la fecha y la hora en que la entidad financiera haya recuperado sus actividades regulares; d) información sobre cómo se han cumplido los criterios establecidos en los artículos 1 a 8 del Reglamento Delegado (UE) 2024/1772, sobre cuya base la entidad financiera clasificó el incidente relacionado con las TIC como grave; e) el tipo de incidente relacionado con las TIC; f) cuando proceda, las amenazas y las técnicas utilizadas por el agente de riesgo; g) las áreas funcionales y los procesos empresariales afectados; h) los componentes de la infraestructura afectados que apoyan los procesos empresariales; i) las repercusiones en los intereses financieros de los clientes; j) información sobre la notificación del incidente relacionado con las TIC a otras autoridades; k) las acciones o medidas temporales emprendidas o previstas por parte de la entidad financiera para recuperarse del incidente relacionado con las TIC; l) cuando proceda, información sobre los indicadores de compromiso.

Los informes finales a que se refiere el artículo 19, apartado 4, letra c), del Reglamento (UE) 2022/2554 contendrán toda la información específica siguiente: a) información sobre las causas subyacentes del incidente relacionado con las TIC; b) las fechas y las horas en que se resolvió el incidente relacionado con las TIC y se abordaron las causas subyacentes; c) información sobre la resolución del incidente relacionado con las TIC; d) cuando proceda, información pertinente para las autoridades de resolución; e) información sobre los costes y pérdidas directos e indirectos derivados del incidente relacionado con las TIC e información sobre las recuperaciones financieras; f) cuando proceda, información sobre incidentes recurrentes relacionados con las TIC.

1 Las entidades financieras presentarán la notificación inicial y los informes intermedio y final a que se refiere el artículo 19, apartado 4, letras a), b) y c), del Reglamento (UE) 2022/2554 dentro de los plazos siguientes: a) en el caso del informe inicial: lo antes posible, pero en cualquier caso, en un plazo de cuatro horas a partir de la clasificación del incidente relacionado con las TIC como grave y a más tardar veinticuatro horas después del momento en que la entidad financiera haya tenido conocimiento de dicho incidente; b) en el caso del informe intermedio: a más tardar en un plazo de setenta y dos horas a partir de la presentación de la notificación inicial, incluso cuando la situación o la gestión del incidente no hayan cambiado con arreglo al artículo 19, apartado 4, letra b), del Reglamento (UE) 2022/2554; las entidades financieras presentarán un informe intermedio actualizado sin demora indebida y, en cualquier caso, cuando se hayan recuperado las actividades regulares; c) en el caso del informe final: a más tardar un mes después de la presentación del informe intermedio o, cuando proceda, del último informe intermedio actualizado.

2 Cuando la entidad financiera no haya clasificado un incidente relacionado con las TIC como grave en un plazo de veinticuatro horas a partir del momento en que haya tenido conocimiento de este, pero lo clasifique como grave en una fase posterior, la entidad financiera presentará la notificación inicial en un plazo de cuatro horas a partir de la clasificación del incidente relacionado con las TIC como incidente grave.

3 Las entidades financieras que no puedan presentar la notificación inicial, el informe intermedio o el informe final en los plazos establecidos en el apartado 1 informarán de ello a la autoridad competente sin demora indebida, pero a más tardar en los plazos respectivos para la presentación de la notificación o el informe, y explicarán los motivos del retraso.

4 Cuando el plazo para la presentación de una notificación inicial, un informe intermedio o un informe final coincida con un fin de semana o un día festivo en el Estado miembro de la entidad financiera notificante, esta podrá presentarlos antes del mediodía del siguiente día hábil.

5 El apartado 4 no se aplicará a la presentación de una notificación inicial o un informe intermedio por parte de entidades de crédito, entidades de contrapartida central, gestores de centros de negociación y otras entidades financieras identificadas como esenciales o importantes de conformidad con el artículo 3 de la Directiva (UE) 2022/2555.

6 Las autoridades competentes podrán decidir que el apartado 4 no se aplique a la presentación de una notificación inicial o de un informe intermedio por parte de entidades financieras distintas de las contempladas en el apartado 5 que sean significativas o tengan un carácter sistémico para el sector financiero a escala nacional o de la Unión. Las autoridades competentes notificarán su decisión a las entidades financieras identificadas. La decisión de la autoridad competente solo se aplicará a los incidentes notificados después de la fecha de notificación de la decisión por la autoridad competente a las entidades financieras identificadas.

El contenido de la notificación voluntaria en relación con las ciberamenazas importantes a que se refiere el artículo 19, apartado 2, del Reglamento (UE) 2022/2554 abarcará todo lo siguiente: a) información general sobre la entidad financiera notificante, tal como se establece en el artículo 1; b) la fecha y la hora de detección de la ciberamenaza importante y cualquier otro sello de tiempo pertinente relacionado con esta; c) una descripción de la ciberamenaza importante; d) información sobre la posible repercusión de la ciberamenaza importante en la entidad financiera, sus clientes o sus contrapartes financieras; e) los criterios de clasificación que habrían dado lugar a un informe de incidente grave establecidos en los artículos 1 a 8 del Reglamento Delegado (UE) 2024/1772 si se hubiera materializado la ciberamenaza; f) información sobre la situación de la ciberamenaza importante y cualquier cambio en la actividad de la amenaza; g) cuando proceda, una descripción de las medidas adoptadas por la entidad financiera para evitar la materialización de las ciberamenazas importantes; h) información sobre cualquier notificación de la ciberamenaza importante a otras entidades o autoridades financieras; i) cuando proceda, información sobre los indicadores de compromiso; j) cuando se disponga de ella, cualquier otra información pertinente.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.