Artykuł 22

1. Bez uszczerbku dla informacji technicznych, porad lub środków zaradczych oraz działań następczych, które w stosownych przypadkach zgodnie z prawem krajowym CSIRT mogą zapewnić na mocy dyrektywy (UE) 2022/2555, właściwy organ – po otrzymaniu wstępnego powiadomienia i poszczególnych sprawozdań, o których mowa w art. 19 ust. 4 – potwierdza otrzymanie i, gdy jest to wykonalne, może w odpowiednim czasie przekazać danemu podmiotowi finansowemu odpowiednie i proporcjonalne informacje zwrotne lub wskazówki wysokiego poziomu w szczególności poprzez udostępnienie wszelkich istotnych zanonimizowanych informacji i analiz na temat podobnych zagrożeń, oraz może omówić środki zaradcze zastosowane na poziomie danego podmiotu finansowego oraz sposoby zminimalizowania i złagodzenia negatywnego wpływu we wszystkich sektorach finansowych. Bez uszczerbku dla otrzymanych informacji zwrotnych podmioty finansowe pozostają w pełni odpowiedzialne za obsługę incydentów związanych z ICT zgłoszonych zgodnie z art. 19 ust. 1 i za konsekwencje tych incydentów.

2. EUN, za pośrednictwem Wspólnego Komitetu, składają corocznie, na podstawie zanonimizowanych i zbiorczych danych, sprawozdanie na temat poważnych incydentów związanych z ICT, na podstawie szczegółowych informacji przekazanych przez właściwe organy zgodnie z art. 19 ust. 6, określając co najmniej liczbę poważnych incydentów związanych z ICT, ich charakter i wpływ na operacje podmiotów finansowych lub klientów, podjęte działania naprawcze i poniesione koszty.

EUN wydają ostrzeżenia i opracowują dane statystyczne wysokiego poziomu w celu wsparcia oceny zagrożeń i podatności w obszarze ICT.