Výběr z možností:

• prvotní oznámení

• průběžná zpráva

• závěrečná zpráva

• závažný incident překlasifikován na méně závažný

Identifikační kód subjektu, který zprávu předkládá.

Pokud oznámení/zprávu předkládají finanční subjekty, identifikačním kódem je identifikační kód právnické osoby (LEI), což je jedinečný 20místný alfanumerický kód podle normy ISO 17442-1:2020.

Poskytovatel z řad třetích stran, který předkládá hlášení za finanční subjekt, může použít identifikační kód uvedený v prováděcích technických normách přijatých podle čl. 28 odst. 9 nařízení (EU) 2022/2554.

Druh subjektu, za který se hlášení předkládá, podle čl. 2 odst. 1 písm. a) až t) nařízení (EU) 2022/2554.

V případě souhrnného hlášení podle článku 7 tohoto nařízení je třeba vybrat jednotlivé druhy finančních subjektů, které jsou do souhrnného hlášení zahrnuty.

Výběr z možností (lze zvolit více možností):

• úvěrová instituce,

• platební instituce,

• vyňatá platební instituce,

• poskytovatel služeb informování o účtu,

• instituce elektronických peněz,

• vyňatá instituce elektronických peněz,

• investiční podnik,

• poskytovatel služeb souvisejících s kryptoaktivy,

• vydavatel tokenů vázaných na aktiva,

• centrální depozitář cenných papírů,

• ústřední protistrana,

• obchodní systém,

• registr obchodních údajů,

• správce alternativního investičního fondu,

• správcovská společnost,

• poskytovatel služeb hlášení údajů,

• pojišťovna a zajišťovna,

• zprostředkovatel pojištění, zprostředkovatel zajištění a zprostředkovatel doplňkového pojištění,

• instituce zaměstnaneckého penzijního pojištění,

• ratingová agentura,

• správce kritických referenčních hodnot,

• poskytovatel služeb skupinového financování,

• registr sekuritizací.

Úplný právní název finančního subjektu dotčeného závažným incidentem souvisejícím s IKT a povinného tento závažný incident hlásit příslušnému orgánu podle článku 19 nařízení (EU) 2022/2554.

V případě souhrnného hlášení:

Identifikační kód právnické osoby (LEI) finančního subjektu, jehož se závažný incident související s IKT dotýká, přidělený podle Mezinárodní organizace pro normalizaci.

V případě souhrnného hlášení:

• a) seznam všech kódů LEI finančních subjektů dotčených závažným incidentem souvisejícím s IKT, oddělených středníkem;
• b) poskytovatel z řad třetích stran, který předkládá oznámení nebo zprávu o závažném incidentu souhrnným způsobem podle článku 7 tohoto nařízení, uvede kódy LEI všech finančních subjektů, kterých se incident dotýká, oddělené středníkem.

Pořadí kódů LEI a názvů finančních subjektů musí být stejné.

Jméno a příjmení hlavní kontaktní osoby finančního subjektu.

V případě souhrnného hlášení podle článku 7 tohoto nařízení jméno hlavní kontaktní osoby v subjektu, který souhrnné hlášení předkládá.

E-mailová adresa hlavní kontaktní osoby, kterou může příslušný orgán použít pro následnou komunikaci.

V případě souhrnného hlášení podle článku 7 tohoto nařízení e-mailová adresa hlavní kontaktní osoby v subjektu, který souhrnné hlášení předkládá.

Telefonní číslo hlavní kontaktní osoby, které může příslušný orgán použít pro následnou komunikaci.

V případě souhrnného hlášení podle článku 7 tohoto nařízení telefonní číslo hlavní kontaktní osoby v subjektu, který souhrnné hlášení předkládá.

Telefonní číslo se uvádí se všemi mezinárodními předvolbami (např. +33XXXXXXXXX).

Telefonní číslo druhé kontaktní osoby nebo týmu, které může příslušný orgán použít pro následnou komunikaci.

Telefonní číslo se uvádí se všemi mezinárodními předvolbami (např. +33XXXXXXXXX).

Jedinečný referenční kód vydaný finančním subjektem, který jednoznačně identifikuje závažný incident související s IKT.

V případě souhrnného hlášení podle článku 7 tohoto nařízení referenční kód incidentu přidělený poskytovatelem z řad třetích stran.

Datum a čas, kdy se finanční subjekt o incidentu souvisejícím s IKT dozvěděl.

U opakujících se incidentů datum a čas, kdy byl zjištěn poslední incident související s IKT.

Popis nejdůležitějších aspektů závažného incidentu souvisejícího s IKT.

Finanční subjekty uvedou základní přehled informací, jako jsou možné příčiny, bezprostřední dopady, dotčené systémy a další informace. Pokud je znám nebo lze důvodně očekávat dopad incidentu na poskytovatele z řad třetích stran nebo jiné finanční subjekty, uvedou finanční subjekty druh poskytovatele nebo finančního subjektu, jeho název, příslušné identifikační kódy a typ identifikačního kódu (např. LEI nebo EUID).

V následných zprávách se obsah tohoto pole může průběžně vyvíjet, aby odrážel aktuální poznatky o incidentu souvisejícím s IKT a popisoval další relevantní informace o incidentu souvisejícím s IKT, které v datových polích nejsou zachyceny, včetně interního posouzení závažnosti finančním subjektem (např. velmi nízká, nízká, střední, vysoká, velmi vysoká) a uvedení úrovně a názvu nejvyšších rozhodovacích struktur, které byly do reakce na incident související s IKT zapojeny.

Klasifikační kritéria podle nařízení v přenesené pravomoci (EU) 2024/1772, jež vedla k označení incidentu souvisejícího s IKT za závažný a k následnému oznámení a zprávám.

V případě souhrnného hlášení podle článku 7 tohoto nařízení klasifikační kritéria, na jejichž základě byl incident související s IKT označen za závažný u nejméně jednoho z finančních subjektů.

Výběr z možností (lze zvolit více možností):

• dotčení klienti, finanční protistrany a transakce,

• dopad na dobrou pověst,

• doba trvání incidentu a doba odstávky služby,

• územní rozsah,

• ztráty údajů,

• dotčené významné služby,

• ekonomický dopad.

Členské státy EHP, které byly závažným incidentem souvisejícím s IKT dotčeny

Při posuzování dopadu závažného incidentu souvisejícího s IKT v jiných členských státech přihlížejí finanční subjekty k článkům 4 a 12 nařízení v přenesené pravomoci (EU) 2024/1772.

Výběr z možností:

• zabezpečení IT,

• zaměstnanec,

• interní audit,

• externí audit,

• klienti,

• finanční protistrany,

• poskytovatel z řad třetích stran,

• útočník,

• monitorovací systémy,

• orgán / agentura / donucovací orgán,

• jiná možnost.

Údaj o tom, zda závažný incident související s IKT pochází od poskytovatele z řad třetích stran nebo od jiného finančního subjektu.

Finanční subjekty uvedou, zda závažný incident související s IKT pochází od poskytovatele z řad třetích stran nebo od jiného finančního subjektu (včetně finančních subjektů patřících do téže skupiny jako subjekt podávající hlášení), a název a identifikační kód tohoto poskytovatele z řad třetích stran nebo finančního subjektu a druh identifikačního kódu (např. LEI nebo EUID).

Veškeré další informace, které nejsou zahrnuty ve vzoru.

Finanční subjekty, které překlasifikovaly závažný incident související s IKT na méně závažný, popíšou důvody, proč incident související s IKT nesplňuje a ani se neočekává, že by splnil kritéria pro to, aby byl považován za závažný incident související s IKT.

Datum a čas, kdy k závažnému incidentu souvisejícímu s IKT došlo, pokud se liší od okamžiku, kdy se finanční subjekt o závažném incidentu souvisejícím s IKT dozvěděl.

U opakujících se závažných incidentů souvisejících s IKT datum a čas, kdy došlo k poslednímu závažnému incidentu souvisejícímu s IKT.

Počet klientů dotčených závažným incidentem souvisejícím s IKT, kteří využívají služby poskytované finančním subjektem.

Při posuzování počtu dotčených klientů přihlížejí finanční subjekty k čl. 1 odst. 1 a čl. 9 odst. 1 písm. b) nařízení v přenesené pravomoci (EU) 2024/1772. Finanční subjekt, který není schopen určit skutečný počet dotčených klientů, použije odhady založené na dostupných údajích ze srovnatelných referenčních období.

V případě souhrnného hlášení podle článku 7 tohoto nařízení celkový počet dotčených klientů ve všech finančních subjektech.

Procentní podíl klientů dotčených závažným incidentem souvisejícím s IKT ve vztahu k celkovému počtu klientů, kteří dotčenou službu poskytovanou finančním subjektem využívají. V případě více dotčených služeb se služby uvedou souhrnně.

Finanční subjekty při posuzování přihlížejí k čl. 1 odst. 1 a čl. 9 odst. 1 písm. a) nařízení v přenesené pravomoci (EU) 2024/1772.

Finanční subjekt, který není schopen určit skutečné procento dotčených klientů, použije odhady založené na dostupných údajích ze srovnatelných referenčních období.

V případě souhrnného hlášení podle článku 7 tohoto nařízení finanční subjekt vydělí součet všech dotčených klientů celkovým počtem klientů všech dotčených finančních subjektů.

Počet finančních protistran dotčených závažným incidentem souvisejícím s IKT, které mají s finančním subjektem uzavřenu smlouvu.

Při posuzování počtu dotčených finančních protistran přihlížejí finanční subjekty k čl. 1 odst. 2 nařízení v přenesené pravomoci (EU) 2024/1772. Finanční subjekt, který není schopen určit skutečný počet dotčených finančních protistran, použije odhady založené na dostupných údajích ze srovnatelných referenčních období.

V případě souhrnného hlášení podle článku 7 tohoto nařízení celkový počet dotčených finančních protistran u všech finančních subjektů.

Procentní podíl finančních protistran dotčených závažným incidentem souvisejícím s IKT ve vztahu k celkovému počtu finančních protistran, které s finančním subjektem uzavřely smlouvu.

Při posuzování procenta dotčených finančních protistran přihlížejí finanční subjekty k čl. 1 odst. 1 a čl. 9 odst. 1 písm. c) nařízení v přenesené pravomoci (EU) 2024/1772.

Finanční subjekt, který není schopen určit skutečné procento dotčených finančních protistran, použije odhady založené na dostupných údajích ze srovnatelných referenčních období.

V případě souhrnného hlášení podle článku 7 tohoto nařízení uveďte součet všech dotčených finančních protistran vydělený celkovým počtem finančních protistran všech dotčených finančních subjektů.

Počet transakcí dotčených závažným incidentem souvisejícím s IKT.

Při posuzování dopadu na transakce přihlížejí finanční subjekty k čl. 1 odst. 4 nařízení v přenesené pravomoci (EU) 2024/1772, včetně toho, že všechny dotčené domácí a přeshraniční transakce obsahují peněžní částku a mají alespoň jednu část transakce provedenou v Unii.

Finanční subjekt, která není schopen určit skutečný počet dotčených transakcí, použije odhady založené na dostupných údajích ze srovnatelných referenčních období.

V případě souhrnného hlášení podle článku 7 tohoto nařízení uveďte celkový počet dotčených transakcí u všech finančních subjektů.

Procentní podíl dotčených transakcí ve vztahu k průměrnému dennímu počtu domácích a přeshraničních transakcí prováděných finančním subjektem v souvislosti s dotčenou službou.

Finanční subjekty přihlížejí k čl. 1 odst. 4 a čl. 9 odst. 1 písm. d) nařízení v přenesené pravomoci (EU) 2024/1772.

Finanční subjekt, který není schopen určit skutečné procento dotčených transakcí, použije odhady.

V případě souhrnného hlášení podle článku 7 tohoto nařízení finanční subjekt sečte počet všech dotčených transakcí a vydělí tento součet celkovým počtem transakcí všech dotčených finančních subjektů.

Celková hodnota transakcí dotčených závažnou událostí související s IKT se posuzuje v souladu s čl. 1 odst. 4 a čl. 9 odst. 1 písm. e) nařízení v přenesené pravomoci (EU) 2024/1772.

Finanční subjekt, který není schopen určit skutečnou hodnotu dotčených transakcí, použije odhady založené na dostupných údajích ze srovnatelných referenčních období.

Finanční subjekt uvede tuto peněžní částku jako kladnou hodnotu.

V případě souhrnného hlášení podle článku 7 tohoto nařízení celková hodnota dotčených transakcí u všech dotčených subjektů.

Peněžní

Finanční subjekty uvedou tento datový bod v jednotkách s minimální přesností odpovídající tisícům jednotek (např. 2,5 namísto 2500 EUR).

Výběr z možností (lze zvolit více možností):

• skutečné údaje o dotčených klientech,

• skutečné údaje o dotčených finančních protistranách,

• skutečné údaje o dotčených transakcích,

• odhady dotčených klientů,

• odhady dotčených finančních protistran,

• odhady dotčených transakcí;

• žádný dopad na klienty,

• žádný dopad na finanční protistrany,

• žádný dopad na transakce.

Informace o poškození dobré pověsti v důsledku závažného incidentu souvisejícího s IKT, jak je uvedeno v článcích 2 a 10 nařízení v přenesené pravomoci (EU) 2024/1772.

V případě souhrnného hlášení podle článku 7 tohoto nařízení kategorie poškození dobré pověsti, které se týkají alespoň jednoho finančního subjektu.

Výběr z možností (lze zvolit více možností):

• závažný incident související s IKT byl zveřejněn v médiích,

• závažný incident související s IKT měl za následek, že různí klienti nebo finanční protistrany opakovaně podávali stížnosti týkající se klientských služeb nebo zásadních obchodních vztahů,

• finanční subjekt v důsledku závažného incidentu souvisejícího s IKT nebude schopen splnit nebo pravděpodobně nebude schopen splnit regulatorní požadavky,

• finanční subjekt v důsledku závažného incidentu souvisejícího s IKT přijde nebo pravděpodobně přijde o klienty nebo finanční protistrany, což bude mít významný dopad na jeho obchodní činnost.

Informace o tom, jak závažný incident související s IKT ovlivnil nebo by mohl ovlivnit dobrou pověst finančního subjektu, včetně porušení právních předpisů, nesplněných regulatorních požadavků, počtu stížností klientů a dalších dopadů.

Tyto informace zahrnují druh médií (např. tradiční a digitální média, blogy, streamovací platformy) a mediální pokrytí, včetně dosahu médií (místní, celostátní, mezinárodní). Mediálním pokrytím v této souvislosti není míněno několik negativních komentářů sledujících nebo uživatelů sociálních sítí.

Finanční subjekt rovněž uvede, zda medializace upozornila na významná rizika pro jeho klienty v souvislosti se závažným incidentem souvisejícím s IKT, včetně rizika platební neschopnosti finančního subjektu nebo rizika ztráty finančních prostředků.

Finanční subjekty dále uvedou, zda médiím poskytly informace, jež posloužily ke spolehlivému informování veřejnosti o závažném incidentu souvisejícím s IKT a jeho důsledcích.

Finanční subjekty mohou také uvést, zda se v médiích v souvislosti s incidentem souvisejícím s IKT objevily nepravdivé informace, včetně informací založených na záměrných dezinformacích šířených aktéry hrozeb, nebo informace týkající se defacementu internetových stránek finančního subjektu nebo tento defacement názorně dokládající.

Finanční subjekty měří dobu trvání závažného incidentu souvisejícího s IKT od okamžiku, kdy k závažnému incidentu souvisejícímu s IKT došlo, do okamžiku, kdy byl vyřešen.

Finanční subjekty, které nejsou schopny určit okamžik, kdy k závažnému incidentu souvisejícímu s IKT došlo, měří dobu trvání závažného incidentu souvisejícího s IKT buď od okamžiku, kdy finanční subjekt incident zjistil, nebo od okamžiku, kdy ho zaznamenal v síťových nebo systémových protokolech či jiných zdrojích dat, podle toho, co nastane dříve. Finanční subjekty, které dosud neznají okamžik, kdy bude závažný incident související s IKT vyřešen, použijí odhady. Tato hodnota se vyjadřuje ve dnech, hodinách a minutách.

Pokud je v případě souhrnného hlášení podle článku 7 tohoto nařízení doba trvání u jednotlivých finančních subjektů rozdílná, měří finanční subjekty nejdelší dobu trvání závažného incidentu souvisejícího s IKT.

Doba odstávky služby měřená od okamžiku, kdy je služba pro klienty, finanční protistrany nebo jiné interní či externí uživatele zcela nebo částečně nedostupná, do okamžiku, kdy jsou běžné činnosti nebo operace obnoveny na úroveň služby poskytovanou před závažným incidentem souvisejícím s IKT.

V případě, že v důsledku odstávky byla služba poskytnuta se zpožděním poté, co byly běžné činnosti nebo operace obnoveny, měří finanční subjekty dobu odstávky služby od začátku závažného incidentu souvisejícího s IKT do okamžiku poskytnutí této zpožděné služby. Finanční subjekty, které nejsou schopny určit okamžik, kdy odstávka služby začala, měří odstávku služby buď od okamžiku zjištění incidentu, nebo od okamžiku jeho zaznamenání, podle toho, co nastane dříve.

Pokud je v případě souhrnného hlášení podle článku 7 tohoto nařízení doba odstávky služby u jednotlivých finančních subjektů rozdílná, měří finanční subjekty nejdelší dobu odstávky služby.

Výběr z možností:

• skutečné údaje

• odhady

• skutečné údaje a odhady

• informace nejsou k dispozici

Druh dopadu v příslušných členských státech EHP.

Údaj o tom, zda závažný incident související s IKT měl dopad na jiné členské státy EHP (jiné než členský stát příslušného orgánu, jemuž se incident přímo hlásí), v souladu s článkem 4 nařízení v přenesené pravomoci (EU) 2024/1772, zejména s ohledem na významnost dopadu ve vztahu k:

• a) dotčeným klientům a finančním protistranám v jiných členských státech nebo
• b) pobočkám či jiným finančním subjektům v rámci téže skupiny, které vyvíjejí činnost v jiných členských státech, nebo

Výběr z možností (lze zvolit více možností):

• klienti

• finanční protistrany

• pobočka finančního subjektu

• finanční subjekty v rámci téže skupiny, které vyvíjejí činnost v příslušném členském státě

• infrastruktura finančního trhu

• poskytovatelé z řad třetích stran, kteří mohou být společní s jinými finančními subjekty

Popis dopadu a závažnosti závažného incidentu souvisejícího s IKT v jednotlivých dotčených členských státech, včetně posouzení dopadu a závažnosti, pokud jde o:

• a) klienty;
• b) finanční protistrany;
• c) pobočky finančního subjektu;

Druh ztrát údajů, které závažný incident související s IKT způsobil, pokud jde o dostupnost, hodnověrnost, integritu nebo důvěrnost údajů.

Finanční subjekty při posuzování přihlížejí k článkům 5 a 13 nařízení v přenesené pravomoci (EU) 2024/1772.

V případě souhrnného hlášení podle článku 7 tohoto nařízení ztráty údajů, jež postihly alespoň jeden finanční subjekt.

Výběr z možností (lze zvolit více možností):

• dostupnost

• hodnověrnost

• integrita

• důvěrnost

Popis dopadu závažného incidentu souvisejícího s IKT na dostupnost, hodnověrnost, integritu a důvěrnost kritických údajů v souladu s články 5 a 13 nařízení v přenesené pravomoci (EU) 2024/1772.

Informace o dopadu na realizaci obchodních cílů finančního subjektu nebo na plnění regulatorních požadavků.

V rámci poskytovaných informací finanční subjekty uvedou, zda dotčenými údaji jsou údaje klientů, údaje jiných subjektů (např. finančních protistran) nebo údaje samotného finančního subjektu.

Finanční subjekt může také uvést druh údajů, jichž se incident týká – zejména zda jde o důvěrné údaje a o jaký typ důvěrnosti se jedná (např. obchodní důvěrnost/tajemství, osobní údaje, profesní tajemství: bankovní tajemství, pojišťovací tajemství, tajemství platebních služeb atd.).

Informace mohou zahrnovat také možná rizika spojená se ztrátami údajů, například zda údaje dotčené incidentem mohou být použity k identifikaci osob a mohly by být aktérem hrozby použity k získání úvěru nebo půjčky bez jejich souhlasu, k provedení phishingových útoků nebo ke zveřejnění informací.

V případě souhrnného hlášení podle článku 7 tohoto nařízení obecný popis dopadu incidentu na dotčené finanční subjekty. Pokud je dopad rozdílný, musí popis dopadu jasně uvádět konkrétní dopad na jednotlivé finanční subjekty.

Informace týkající se kritéria „Dotčené významné služby“.

Finanční subjekty při posuzování přihlížejí k článku 6 nařízení v přenesené pravomoci (EU) 2024/1772, včetně informací o:

• dotčených službách nebo činnostech. které vyžadují povolení nebo registraci nebo nad nimiž vykonávají dohled příslušné orgány, nebo

• službách nebo síti IKT a informačních systémech, které podporují zásadní nebo důležité funkce finančního subjektu, a

• povaze zlovolného a neoprávněného přístupu do sítě a informačních systémů finančního subjektu.

V případě souhrnného hlášení podle článku 7 tohoto nařízení dopad na významné služby týkající se alespoň jednoho finančního subjektu.

Výběr z možností (lze zvolit více možností):

• incident související s kybernetickou bezpečností

• selhání procesu

• Porucha systému

• externí událost

• incident související s platbami

• jiný incident (upřesněte)

Uveďte hrozby a techniky použité aktérem hrozby, například:

• a) sociální inženýrství, včetně phishingu;
• b) útok (D)DoS;
• c) krádež identity;
• d) šifrování dat s dopadem, včetně ransomwaru;
• e) únos zdrojů;
• f) exfiltrace dat a manipulace s daty, s výjimkou krádeže identity;

Výběr z možností (lze zvolit více možností):

• Sociální inženýrství (včetně phishingu)

• útok (D)DoS

• krádež identity

• šifrování dat za účelem dopadu, včetně ransomwaru

• únos zdrojů

• exfiltrace dat a manipulace s daty, včetně krádeže identity

• zničení dat

• nahrazení originálního obsahu podvrhem (defacement)

• útok na dodavatelský řetězec

• jiný incident (upřesněte)

Jiné druhy technik

Finanční subjekty, které v datovém poli 3.25 zvolily druh technik „Jiné“, druh techniky upřesní.

Vymezení funkčních oblastí a obchodních procesů, které jsou incidentem dotčeny, včetně produktů a služeb.

Funkční oblasti zahrnují mimo jiné:

• a) marketing a rozvoj podnikání;
• b) zákaznické služby;
• c) řízení produktů;
• d) dodržování předpisů;
• e) řízení rizik;
• f) finance a účetnictví;
• g) lidské zdroje a obecné služby;
• h) informační technologie.

Obchodní procesy zahrnují mimo jiné:

• informování o účtu,

• pojistněmatematické služby,

• akceptace platebních transakcí,

• ověřování/autorizace,

• onboarding

• nových orgánů/klientů,

• správa požitků,

• řízení výplat požitků,

• nákup a prodej balíčků pojištění mezi pojišťovnami,

• platby kartou,

• řízení hotovosti,

• vložení nebo výběry hotovosti,

• správa pojistných plnění,

• pojištění procesu pojistných událostí,

• zúčtování,

• konglomeráty podnikových úvěrů,

• kolektivní pojištění,

• úhrady,

• úschova a uložení aktiv,

• onboarding zákazníků,

• přijímání dat,

• zpracování dat,

• inkasa,

• vývozní pojištění,

• finalizace obchodů/prodejů,

• umístění finančních nástrojů,

• účetnictví fondů,

• valuty a devizy,

• investiční poradenství,

• správa investic,

• vydávání platebních prostředků,

• řízení úvěrů,

• proces plateb životního pojištění,

• poukazování peněz,

• výpočet čistých aktiv,

• příkaz,

• iniciování platby,

• upisování pojištění,

• správa portfolií,

• výběr pojistného/zajistného,

• příjem/předávání/provádění,

• zajištění,

• vypořádání,

• sledování transakcí.

V případě souhrnného hlášení podle článku 7 tohoto nařízení dotčené funkční oblasti a obchodní procesy alespoň u jednoho finančního subjektu.

Výběr z možností:

• Ano

• Ne

• Informace nejsou k dispozici

Popis dopadu závažného incidentu souvisejícího s IKT na součásti infrastruktury podporující obchodní procesy včetně hardwaru a softwaru.

Hardware zahrnuje servery, počítače, datová centra, přepínače, směrovače, rozbočovače. Software zahrnuje operační systémy, aplikace, databáze, bezpečnostní nástroje, síťové komponenty a další. V těchto popisech je třeba dotčené součásti nebo systémy infrastruktury popsat nebo vyjmenovat, a pokud jsou k dispozici, je třeba uvést:

• a) informace o verzi;
• b) zda jde o infrastrukturu interní / zčásti zajištěnou externě / plně zajištěnou externě – název poskytovatele z řad třetích stran;
• c) zda je infrastruktura využívaná / sdílená pro více obchodních funkcí;
• d) příslušná zavedená opatření pro zajištění odolnosti/kontinuity/obnovy/zastupitelnosti.

Výběr z možností:

• Ano

• Ne

• Informace nejsou k dispozici

Upřesnění, které orgány byly o závažném incidentu souvisejícím s IKT informovány.

S ohledem na rozdíly vyplývající z vnitrostátních právních předpisů členských států musí být pojem donucovací orgány chápán finančními subjekty široce jako zahrnující orgány veřejné správy oprávněné stíhat kybernetickou kriminalitu, včetně policie, donucovacích orgánů a státních zástupců.

Výběr z možností (lze zvolit více možností):

• Policie a donucovací orgány

• Tým pro reakce na počítačové bezpečnostní incidenty (CSIRT)

• Úřad pro ochranu osobních údajů

• Národní agentura pro kybernetickou bezpečnost

• Žádný orgán

• Jiný orgán (upřesněte)

Upřesnění jiných druhů orgánů, které byly o závažném incidentu souvisejícím s IKT informovány.

Pokud je zvoleno datové pole 3.31 „Jiný orgán“, musí popis obsahovat podrobnější informace o orgánu, jemuž finanční subjekt informace o závažném incidentu souvisejícím s IKT předložil.

Tato informace musí popisovat bezprostředně přijatá opatření, včetně izolace incidentu na úrovni sítě, aktivovaných postupů pro obejití, zablokovaných portů USB, aktivace místa pro obnovu po havárii a veškeré další dočasně zavedené dodatečné bezpečnostní kontroly.

Finanční subjekty uvedou datum a čas provedení dočasných opatření a předpokládané datum návratu na primární místo. U všech dočasných opatření, která dosud nebyla provedena, ale stále jsou plánována, uveďte datum, do kdy se jejich provedení předpokládá.

Pokud nebyla přijata žádná dočasná opatření, uveďte důvod.

Případné informace týkající se závažného incidentu souvisejícího s IKT, které mohou přispět k identifikaci nepřátelské činnosti v síti nebo informačním systému (ukazatele narušení).

Toto pole se v příslušných případech týká pouze těch finančních subjektů, které spadají do oblasti působnosti směrnice Evropského parlamentu a Rady (EU) 2022/2555, a těch finančních subjektů, které jsou podle vnitrostátních předpisů, jimiž se provádí článek 3 směrnice (EU) 2022/2555, označeny za základní nebo důležité subjekty.

Ukazatel narušení poskytnutý finančním subjektem zahrnuje tyto kategorie údajů:

• a) IP adresy;
• b) URL adresy;
• c) domény;
• d) hashe souborů;
• e) údaje o malwaru (název malwaru, názvy souborů a jejich umístění, konkrétní klíče registru spojené s činností malwaru);
• f) údaje o činnosti sítě (porty, protokoly, adresy, referery, řetězce user agent, hlavičky, konkrétní protokoly nebo charakteristické vzorce síťového provozu);
• g) údaje e-mailové zprávy (odesílatel, příjemce, předmět, záhlaví, obsah);
• h) požadavky systému DNS a konfigurace registru;
• i) činnosti uživatelských účtů (přihlašování, činnost privilegovaných uživatelských účtů, zvyšování oprávnění);
• j) databázový provoz (čtení/zápis), požadavky na stejný soubor.

V praxi může tento druh informací zahrnovat údaje týkající se například ukazatelů popisujících vzorce síťového provozu, které odpovídají známým útokům/komunikaci v rámci botnetu, IP adresy počítačů infikovaných malwarem (botů), údaje týkající se „řídicích a kontrolních“ serverů používaných malwarem (obvykle domény nebo IP adresy) a adresy URL týkající se phishingových stránek nebo internetových stránek, na nichž byl pozorován malware nebo exploit kity.

Vysokoúrovňová klasifikace hlavní příčiny závažného incidentu souvisejícího s IKT podle druhu incidentu, zahrnující tyto základní kategorie:

• a) zlovolné jednání;
• b) selhání procesu;
• c) selhání/porucha systému;
• d) lidská chyba;
• e) externí událost.

Výběr z možností (lze zvolit více možností):

• zlovolné jednání,

• selhání procesu,

• selhání/porucha systému,

• lidská chyba,

• externí událost.

Podrobná klasifikace hlavních příčin závažného incidentu souvisejícího s IKT podle druhu incidentu, zahrnující tyto podrobné kategorie spojené s vysokoúrovňovými kategoriemi uvedenými v datovém poli 4.1:

Finanční subjekty vezmou v úvahu, že v případě opakujících se závažných incidentů souvisejících s IKT se bere v potaz konkrétní zjevná hlavní příčina incidentu, a nikoli obecné kategorie uvedené v tomto poli.

Výběr z možností (lze zvolit více možností):

• zlovolné jednání: úmyslné vnitřní zásahy,

• zlovolné jednání: úmyslné fyzické poškození / manipulace / krádež;

• zlovolné jednání: podvodné jednání,

• selhání procesu: nedostatečné monitorování nebo selhání monitorování a kontroly,

• selhání procesu: nedostatečné/nejasné úlohy a odpovědnosti,

• selhání procesu: selhání procesu řízení rizik IKT,

• selhání procesu: nedostatečné nebo neúspěšné operace IKT a bezpečnostní operace IKT,

• selhání procesu: nedostatečné nebo neúspěšné řízení projektů IKT;

• selhání procesu: nevhodnost interních zásad, postupů a dokumentace,

• selhání procesu: nevhodné pořizování, vývoj a údržba systémů IKT,

• selhání procesu: jiná možnost (upřesněte),

• porucha systému: kapacita a výkonnost hardwaru,

• porucha systému: údržba hardwaru,

• porucha systému: zastaralost/stárnutí hardwaru,

• porucha systému: kompatibilita/konfigurace softwaru,

• porucha systému: výkonnost softwaru,

• porucha systému: konfigurace sítě,

• porucha systému: fyzické poškození,

• porucha systému: jiná možnost (upřesněte),

• lidská chyba: opomenutí, —

• lidská chyba: omyl,

• lidská chyba: dovednosti a znalosti,

• lidská chyba: nedostatečné lidské zdroje,

• lidská chyba: chyba v komunikaci,

• lidská chyba: jiná možnost (upřesněte),

• externí událost: přírodní katastrofy / vyšší moc,

• externí událost: selhání třetích stran,

• externí událost: jiné (upřesněte).

Další klasifikace hlavních příčin závažného incidentu souvisejícího s IKT podle druhu incidentu, zahrnující následující další klasifikační kategorie spojené s podrobnými kategoriemi, které se uvedou v datovém poli 4.2.

Toto pole je pro závěrečnou zprávu povinné, pokud jsou v datovém poli 4.2 uvedeny určité kategorie, které vyžadují další rozčlenění.

• 2 g) Nevhodné pořizování, vývoj a údržba systémů IKT
  • a) nevhodné pořizování, vývoj a údržba systémů IKT;
  • b) nedostatečné testování softwaru nebo selhání testování softwaru.

Výběr z možností (lze zvolit více možností):

• sledování dodržování zásad;

• sledování poskytovatelů služeb z řad třetích stran;

• sledování a ověřování nápravy zranitelností;

• správa identit a řízení přístupu;

• šifrování a kryptografie;

• vedení protokolů;

• selhání při stanovení správných úrovní tolerance rizik;

• nedostatečné posouzení zranitelnosti a hrozeb;

• nevhodná opatření k řešení rizik;

• špatné řízení zbytkových rizik v oblasti IKT;

• řízení zranitelností a dočasných oprav;

• řízení změn;

• řízení kapacity a výkonu;

• řízení aktiv a klasifikace informací v rámci IKT;

• zálohování a obnovení;

• řešení chyb;

• nevhodné pořizování, vývoj a údržba systémů IKT;

• nedostatečné testování softwaru nebo selhání testování softwaru

Popis sledu událostí, které k závažnému incidentu souvisejícímu s IKT vedly, a pokud je incident klasifikován jako opakující se incident, popis toho, jak má tento závažný incident související s IKT podobnou zjevnou hlavní příčinu, včetně stručného popisu všech základních důvodů a hlavních faktorů, které k výskytu závažného incidentu souvisejícího s IKT přispěly.

V případě, že došlo ke zlovolnému jednání, popis způsobu provedení zlovolného zásahu, včetně použitých taktik, technik a postupů, jakož i vstupního vektoru závažného incidentu souvisejícího s IKT, včetně případného popisu vyšetřování a analýzy, které vedly k určení hlavních příčin.

Další informace o přijatých/plánovaných opatřeních k trvalému vyřešení závažného incidentu souvisejícího s IKT a k zabránění jeho opakování.

Zkušenosti získané ze závažného incidentu souvisejícího s IKT.

Popis musí obsahovat tyto body:

• 1. Popis opatření k řešení
  • a) opatření přijatá k trvalému vyřešení závažného incidentu souvisejícího s IKT (kromě dočasných opatření);
  • b) u každého přijatého opatření uveďte případné zapojení poskytovatele z řad třetích stran a finančního subjektu;
  • c) uveďte, zda byly po závažném incidentu souvisejícím s IKT upraveny postupy;
  • d) uveďte veškerá další kontrolní opatření, která byla zavedena nebo jsou plánována, a příslušný časový plán jejich provádění.

  Případné zjištěné problémy týkající se odolnosti dotčených IT systémů a/nebo z hlediska zavedených postupů nebo kontrolních opatření.

  Finanční subjekty jasně uvedou, jakým způsobem plánovaná nápravná opatření odstraní zjištěné hlavní příčiny a kdy se předpokládá trvalé vyřešení závažného incidentu souvisejícího s IKT.

• 2. Získané zkušenosti

  Finanční subjekty popíšou zjištění z přezkumu provedeného po incidentu.

Posouzení, zda závažný incident související s IKT představuje riziko pro zásadní funkce ve smyslu čl. 2 odst. 1 bodu 35 směrnice Evropského parlamentu a Rady 2014/59/EU.

Subjekty uvedené v čl. 1 odst. 1 směrnice 2014/59/EU uvedou, zda incident představuje riziko pro zásadní funkce ve smyslu čl. 2 odst. 1 bodu 35 směrnice 2014/59/EU, jež se vykazuje podle vzoru Z 07.01 prováděcího nařízení Komise (EU) 2018/1624 a přiřazuje se ke konkrétnímu subjektu podle vzoru Z 07.02.

Popis toho, zda a případně jak závažný incident související s IKT ovlivnil způsobilost subjektu nebo skupiny k řešení krize.

Subjekty uvedené v čl. 1 odst. 1 směrnice 2014/59/EU poskytnou informace o tom, zda a případně jak závažný incident související s IKT ovlivnil způsobilost subjektu nebo skupiny k řešení krize.

Tyto subjekty rovněž uvedou, zda má závažný incident související s IKT dopad na platební schopnost nebo likviditu finančního subjektu, a případnou kvantifikaci tohoto dopadu.

Tyto subjekty poskytnou rovněž informace o dopadu na kontinuitu provozu, dopadu na způsobilost subjektu k řešení krize a případném dodatečném dopadu na náklady a ztráty způsobeném závažným incidentem souvisejícím s IKT, včetně dopadu na kapitálovou pozici finančního subjektu, a o tom, zda jsou smluvní ujednání o využívání služeb IKT stále spolehlivá a plně vymahatelná v případě řešení krize subjektu.

Celková výše hrubých přímých a nepřímých nákladů a ztrát, které finančnímu subjektu v důsledku závažného incidentu souvisejícího s IKT vznikly, včetně:

• a) výše vyvlastněných finančních prostředků nebo finančních aktiv, za něž je finanční subjekt odpovědný;
• b) výše nákladů na výměnu nebo přemístění softwaru, hardwaru nebo infrastruktury;
• c) výše nákladů na zaměstnance, včetně nákladů spojených s výměnou nebo přeložením zaměstnanců, náborem dalších zaměstnanců, odměnou za práci přesčas a obnovou pozbytých nebo zhoršených dovedností zaměstnanců;
• d) výše poplatků vzniklých v důsledku nedodržení smluvních závazků;
• e) výše nákladů na odškodnění zákazníků a náhradu škody;
• f) výše ztrát v důsledku ušlých příjmů;
• g) výše nákladů spojených s interní a externí komunikací;
• h) výše nákladů na poradenství, včetně nákladů spojených s právním poradenstvím, forenzními službami a službami k zajištění nápravy;
• i) výše ostatních nákladů a ztrát, jež zahrnují:
  • i) přímé zaúčtování nákladů, včetně nákladů ze snížení hodnoty a vypořádání, do výsledovky a odpisy způsobené závažným incidentem souvisejícím s IKT;
  • ii) rezervy nebo opravné položky zaúčtované ve výsledovce proti pravděpodobným ztrátám souvisejícím s významným incidentem souvisejícím s IKT;
  • iii) nezaúčtované ztráty ve formě ztrát plynoucích z významného incidentu souvisejícího s IKT, které jsou dočasně zaneseny do přechodných nebo průběžných položek a nejsou dosud odraženy ve výsledovce a jejichž zahrnutí se plánuje ve lhůtě přiměřené velikosti a stáří nezaúčtované položky;
  • iv) podstatné nezinkasované výnosy související se smluvními povinnostmi sjednanými s třetími stranami, včetně rozhodnutí poskytnout klientovi po závažném incidentu souvisejícím s IKT náhradu prostřednictvím úpravy výnosů formou zřeknutí se nebo snížení smluvních poplatků po určité budoucí období, a nikoli formou refundace nebo přímé platby;
  • v) časově vázané ztráty, pokud zahrnují více než jeden rok finančního účetnictví a způsobují právní riziko.

Finanční subjekty při posuzování přihlížejí k čl. 7 odst. 1 a 2 nařízení v přenesené pravomoci (EU) 2024/1772. Finanční subjekty do tohoto čísla nezahrnou žádné finanční prostředky získané zpět.

Finanční subjekty uvedou tuto peněžní částku jako kladnou hodnotu.

V případě souhrnného hlášení podle článku 7 tohoto nařízení finanční subjekty zohlední celkovou výši nákladů a ztrát u všech finančních subjektů.

Finanční subjekty uvedou tento datový bod v jednotkách s minimální přesností odpovídající tisícům jednotek.

Celková výše zpětně získaných finančních prostředků.

Zpětné získání finančních prostředků se vztahuje k původní ztrátě způsobené incidentem, a to nezávisle na okamžiku zpětného získání finančních prostředků ve formě financí nebo přílivu ekonomických přínosů.

Finanční subjekty uvedou tuto peněžní částku jako kladnou hodnotu.

V případě souhrnného hlášení podle článku 7 tohoto nařízení finanční subjekty zohlední celkovou výši zpětně získaných finančních prostředků u všech finančních subjektů.

Peněžní

Finanční subjekty uvedou tento datový bod v jednotkách s minimální přesností odpovídající tisícům jednotek.

Informace o tom, zda se opakovaně vyskytl více než jeden méně závažný incident související s IKT a zda se tyto incidenty společně považují za závažný incident ve smyslu čl. 8 odst. 2 nařízení v přenesené pravomoci (EU) 2024/1772.

Finanční subjekty uvedou, zda se méně závažné incidenty související s IKT opakují a zda se společně považují za jeden závažný incident související s IKT.

Finanční subjekty uvedou rovněž četnost výskytů těchto méně závažných incidentů souvisejících s IKT.

Identifikační kód subjektu, který oznámení předkládá.

Pokud oznámení/zprávu předkládají finanční subjekty, identifikačním kódem je identifikační kód právnické osoby (LEI), což je jedinečný 20místný alfanumerický kód podle normy ISO 17442-1:2020.

Pokud zprávu za finanční subjekt předkládá poskytovatel z řad třetích stran, může použít identifikační kód uvedený v prováděcích technických normách přijatých podle čl. 28 odst. 9 nařízení (EU) 2022/2554.

Výběr z možností (lze zvolit více možností):

• úvěrová instituce,

• platební instituce,

• vyňatá platební instituce,

• poskytovatel služeb informování o účtu,

• instituce elektronických peněz,

• vyňatá instituce elektronických peněz,

• investiční podnik,

• poskytovatel služeb souvisejících s kryptoaktivy,

• vydavatel tokenů vázaných na aktiva,

• centrální depozitář cenných papírů,

• ústřední protistrana,

• obchodní systém,

• registr obchodních údajů,

• správce alternativního investičního fondu,

• správcovská společnost,

• poskytovatel služeb hlášení údajů,

• pojišťovna a zajišťovna,

• zprostředkovatel pojištění, zprostředkovatel zajištění a zprostředkovatel doplňkového pojištění,

• instituce zaměstnaneckého penzijního pojištění,

• ratingová agentura,

• správce kritických referenčních hodnot,

• poskytovatel služeb skupinového financování,

• registr sekuritizací.

Telefonní číslo hlavní kontaktní osoby, které může příslušný orgán použít pro následnou komunikaci.

Telefonní číslo se uvádí se všemi mezinárodními předvolbami (např. +33XXXXXXXXX).

Telefonní číslo druhé kontaktní osoby, které může příslušný orgán použít pro následnou komunikaci, pokud je k dispozici.

Telefonní číslo se uvádí se všemi mezinárodními předvolbami (např. +33XXXXXXXXX).

Popis nejdůležitějších aspektů významné kybernetické hrozby.

Finanční subjekty uvedou:

Výběr z možností (lze zvolit více možností):

• dotčení klienti, finanční protistrany a transakce,

• dopad na dobrou pověst,

• doba trvání incidentu a doba odstávky služby,

• územní rozsah,

• ztráty údajů,

• dotčené významné služby,

• ekonomický dopad.

Informace o stavu kybernetické hrozby pro finanční subjekt a o tom, zda došlo ke změnám v její aktivitě.

Pokud kybernetická hrozba přestala s informačními systémy finančního subjektu komunikovat, lze její stav označit jako neaktivní. Pokud má finanční subjekt informace o tom, že hrozba je nadále aktivní vůči jiným stranám nebo finančnímu systému jako celku, označí se její stav jako aktivní.

Výběr z možností:

• aktivní

• neaktivní

Případné informace týkající se závažné hrozby, které mohou přispět k identifikaci nepřátelské činnosti v síti nebo informačním systému (ukazatele narušení).

Ukazatel narušení uvedený finančním subjektem může zahrnovat například tyto kategorie údajů:

• a) IP adresy;
• b) URL adresy;
• c) domény;
• d) hashe souborů;

Tento druh informací může zahrnovat údaje týkající se ukazatelů, které popisují vzorce síťového provozu odpovídající známým útokům / komunikaci v rámci botnetu, IP adresy počítačů napadených malwarem (botů), údaje týkající se „řídicích a kontrolních“ serverů používaných malwarem (obvykle domény nebo IP adresy) a adresy URL související s phishingovými stránkami nebo webovými stránkami, na nichž byl pozorován malware nebo exploit kity.