a)

rodzaj zgłoszenia (wstępne powiadomienie, sprawozdanie śródokresowe lub sprawozdanie końcowe);

b)

nazwę podmiotu finansowego, jego kod LEI oraz rodzaj podmiotu finansowego, zgodnie z art. 2 ust. 1 rozporządzenia (UE) 2022/2554;

c)

nazwę i kod identyfikacyjny podmiotu, który przedkłada w imieniu podmiotu finansowego wstępne powiadomienie lub sprawozdanie śródokresowe lub sprawozdanie końcowe;

d)

w stosownych przypadkach nazwy i kody LEI wszystkich podmiotów finansowych objętych zbiorczym wstępnym powiadomieniem lub zbiorczym sprawozdaniem śródokresowym lub zbiorczym sprawozdaniem końcowym;

e)

dane kontaktowe osób odpowiedzialnych za komunikację z właściwym organem w sprawie poważnego incydentu związanego z ICT;

f)

w stosownych przypadkach dane identyfikacyjne jednostki dominującej grupy, do której należy dany podmiot finansowy;

g)

w przypadku skutków pieniężnych - waluta, na której opierają się kwoty.

a)

kod referencyjny incydentu nadany przez podmiot finansowy;

b)

datę wykrycia, godzinę wykrycia i klasyfikację incydentu zgodnie z art. 8 rozporządzenia delegowanego Komisji (UE) 2024/1772 (7);

c)

opis incydentu związanego z ICT;

d)

kryteria określone w art. 1-8 rozporządzenia delegowanego (UE) 2024/1772, na podstawie których podmiot finansowy sklasyfikował incydent związany z ICT jako poważny;

e)

państwa członkowskie, na które incydent związany z ICT ma wpływ;

f)

informacje o tym, w jaki sposób incydent związany z ICT został wykryty;

g)

informacje o pochodzeniu incydentu związanego z ICT, o ile są dostępne;

h)

informacje o tym, czy podmiot finansowy uruchomił plan ciągłości działania;

i)

w stosownych przypadkach informacje na temat zmiany klasyfikacji incydentu związanego z ICT z poważnego na inny niż poważny;

j)

wszelkie inne istotne informacje, jeżeli są dostępne.

a)

w stosownych przypadkach kod referencyjny incydentu przekazany przez właściwy organ;

b)

datę i godzinę wystąpienia incydentu związanego z ICT;

c)

w stosownych przypadkach datę i godzinę odzyskania przez podmiot finansowy sprawności w zakresie regularnej działalności;

d)

informacje, w jaki sposób zostały spełnione kryteria określone w art. 1-8 rozporządzenia delegowanego (UE) 2024/1772, na podstawie których podmiot finansowy sklasyfikował incydent związany z ITC jako poważny;

e)

rodzaj incydentu związanego z ICT;

f)

w stosownych przypadkach zagrożenia i techniki stosowane przez agresora;

g)

obszary funkcjonalne i procesy biznesowe, których dotyczy incydent związany z ICT;

h)

wspierające procesy biznesowe elementy infrastruktury, których dotyczy incydent związany z ICT;

i)

wpływ na interesy finansowe klientów;

j)

informacje na temat zgłoszenia incydentu związanego z ICT innym organom;

k)

tymczasowe działania lub środki wprowadzone lub planowane przez podmiot finansowy w celu przywrócenia sprawności po incydencie związanym z ICT;

l)

w stosownych przypadkach informacje na temat oznak naruszenia integralności systemu.

a)

informacje na temat podstawowych przyczyn incydentu związanego z ICT;

b)

daty i godziny rozwiązania incydentu związanego z ICT oraz wyeliminowania podstawowych przyczyn;

c)

informacje na temat rozwiązania incydentu związanego z ICT;

d)

w stosownych przypadkach informacje istotne dla organów ds. restrukturyzacji i uporządkowanej likwidacji;

e)

informacje na temat bezpośrednich i pośrednich kosztów i strat wynikających z incydentu związanego z ICT oraz informacje o odzyskanych środkach finansowych;

f)

w stosownych przypadkach informacje o powtarzających się incydentach związanych z ICT.

a)

w przypadku wstępnego powiadomienia: tak szybko, jak to możliwe, ale w każdym razie w ciągu czterech godzin od sklasyfikowania incydentu związanego z ICT jako poważny incydent związany z ICT i nie później niż 24 godziny od momentu, w którym podmiot finansowy dowiedział się o incydencie związanym z ICT;

b)

w przypadku sprawozdania śródokresowego: najpóźniej w ciągu 72 godzin od przedłożenia wstępnego powiadomienia, nawet jeżeli status incydentu lub obsługa incydentu nie uległy zmianie, jak określono w art. 19 ust. 4 lit. b) rozporządzenia (UE) 2022/2554. Podmioty finansowe przedkładają zaktualizowane sprawozdanie śródokresowe bez zbędnej zwłoki, a w każdym razie po odzyskaniu sprawności w zakresie regularnej działalności;

c)

w przypadku sprawozdania końcowego: nie później niż miesiąc po przedłożeniu sprawozdania śródokresowego lub, w stosownych przypadkach, po ostatniej aktualizacji sprawozdania śródokresowego.

a)

ogólne informacje o powiadamiającym podmiocie finansowym, jak określono w art. 1;

b)

datę i godzinę wykrycia znaczącego cyberzagrożenia oraz wszelkie inne istotne znaczniki czasu związane ze znaczącym cyberzagrożeniem;

c)

opis znaczącego cyberzagrożenia;

d)

informacje na temat potencjalnego wpływu znaczącego cyberzagrożenia na podmiot finansowy, jego klientów lub kontrahentów finansowych;

e)

kryteria klasyfikacji, określone w art. 1-8 rozporządzenia delegowanego (UE) 2024/1772, które - gdyby cyberzagrożenie się urzeczywistniło - spowodowałyby zgłoszenie poważnego incydentu;

f)

informacje na temat statusu znaczącego cyberzagrożenia i wszelkich zmian w zagrożeniu;

g)

w stosownych przypadkach opis działań podjętych przez podmiot finansowy w celu zapobieżenia urzeczywistnieniu się znaczących cyberzagrożeń;

h)

informacje o wszelkich powiadomieniach innych podmiotów lub organów finansowych o znaczącym cyberzagrożeniu;

i)

w stosownych przypadkach informacje na temat oznak naruszenia integralności systemu;

j)

wszelkie inne istotne informacje, jeżeli są dostępne.