Delegierte Verordnung (EU) 2025/303 der Kommission vom 31. Oktober 2024 zur Ergänzung der Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der von bestimmten Finanzunternehmen in die Mitteilung zur Bekundung ihrer Absicht zur Erbringung von Krypto-Dienstleistungen aufzunehmenden Angaben

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Amtsblatt der Europäischen Union DE Reihe L 2025/303 20.2.2025 DELEGIERTE VERORDNUNG (EU) 2025/303 DER KOMMISSION vom 31. Oktober 2024 zur Ergänzung der Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der von bestimmten Finanzunternehmen in die Mitteilung zur Bekundung ihrer Absicht zur Erbringung von Krypto-Dienstleistungen aufzunehmenden Angaben (Text von Bedeutung für den EWR) DIE EUROPÄISCHE KOMMISSION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, gestützt auf die Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates vom 31. Mai 2023 über Märkte für Kryptowerte und zur Änderung der Verordnungen (EU) Nr. 1093/2010 und (EU) Nr. 1095/2010 sowie der Richtlinien 2013/36/EU und (EU) 2019/1937 (1), insbesondere auf Artikel 60 Absatz 13 Unterabsatz 3, in Erwägung nachstehender Gründe: (1) Damit die zuständigen Behörden beurteilen können, ob bestimmte Finanzunternehmen, die beabsichtigen, Krypto-Dienstleistungen zu erbringen, die geltenden Anforderungen des Titels V und gegebenenfalls des Titels VI der Verordnung (EU) 2023/1114 erfüllen, sollten die von bestimmten Finanzunternehmen im Hinblick auf ihre Absicht, Krypto-Dienstleistungen zu erbringen, zu übermittelnden Informationen hinreichend detailliert und umfassend sein, ohne dass dies eine unzumutbare Belastung darstellt. (2) Gemäß Artikel 60 Absatz 7 Buchstabe a der Verordnung (EU) 2023/1114 muss eine Mitteilung über die Absicht, Krypto-Dienstleistungen zu erbringen, einen Geschäftsplan enthalten. Damit ein möglichst umfassendes Bild der von dem mitteilenden Rechtsträger beabsichtigten Tätigkeiten vermittelt wird, sollte der Geschäftsplan eine Beschreibung der Organisationsstruktur des mitteilenden Rechtsträgers, seiner Strategie bei der Erbringung von Krypto-Dienstleistungen für seine Zielkunden und seiner operativen Kapazität in den drei Jahren nach dem Datum der Mitteilung enthalten. In Bezug auf die Strategie zur Kundengewinnung sollte der mitteilende Rechtsträger die Marketingmittel beschreiben, die er einzusetzen beabsichtigt, darunter Websites, Mobiltelefonanwendungen, persönliche Treffen, Pressemitteilungen oder jede Form physischer oder elektronischer Mittel, einschließlich Social-Media-Kampagnen-Tools, Internetwerbung oder -banner, zielgruppengenaue Werbung, Vereinbarungen mit Influencern, Sponsoring-Vereinbarungen, Telefonate, Webinare, Einladungen zu Veranstaltungen, Partnerschaftskampagnen, Gamification-Techniken, Aufforderungen zum Ausfüllen eines Antwortformulars oder zur Teilnahme an einem Schulungskurs, Demokonten oder Schulungsmaterial. (3) Damit die zuständigen Behörden die Widerstandsfähigkeit des mitteilenden Rechtsträgers gegenüber externen finanziellen Schocks, einschließlich solcher, die den Wert von Kryptowerten betreffen, beurteilen können, sollte in die Mitteilung des mitteilenden Rechtsträgers eine Rechnungslegungsprognose mit Stressszenarien aufgenommen werden, in denen schwerwiegende, aber plausible Ereignisse simuliert werden. (4) Um Betriebsausfälle zu vermeiden, die für den mitteilenden Rechtsträger und die Märkte für Kryptowerte im Allgemeinen schwerwiegende finanzielle, regulatorische und rufschädigende Folgen haben können, ist es äußerst wichtig, den Betrieb oder zumindest wesentliche Funktionen der Anbieter von Krypto-Dienstleistungen aufrechtzuerhalten und Ausfallzeiten aufgrund unerwarteter Störungen, einschließlich Cyberangriffen und Naturkatastrophen, zu minimieren. Eine Mitteilung sollte daher detaillierte Informationen über die Vorkehrungen des mitteilenden Rechtsträgers zur Gewährleistung der Kontinuität und Regelmäßigkeit bei der Erbringung von Krypto-Dienstleistungen enthalten, einschließlich einer ausführlichen Beschreibung seiner Risiken und Pläne zur Fortführung des Geschäftsbetriebs. (5) Es sind wirksame Mechanismen, Systeme und Verfahren nach Maßgabe der Richtlinie (EU) 2015/849 des Europäischen Parlaments und des Rates (2) erforderlich, um sicherzustellen, dass die mitteilenden Rechtsträger den Risiken und Praktiken der Geldwäsche und der Terrorismusfinanzierung bei der Erbringung von Krypto-Dienstleistungen in angemessener Weise entgegenwirken. Daher sollten die mitteilenden Rechtsträger in ihrer Mitteilung ausführliche Informationen über ihre Mechanismen, Systeme und Verfahren vorlegen, die sie zur Vermeidung von Risiken im Zusammenhang mit ihren Geschäftstätigkeiten, unter anderem in Bezug auf die Bekämpfung von Geldwäsche und Terrorismusfinanzierung, eingerichtet haben. (6) Aufgrund des dezentralen und digitalen Charakters von Kryptowerten sind Anbieter von Krypto-Dienstleistungen erheblichen Cybersicherheitsrisiken verschiedenster Art ausgesetzt. Damit sichergestellt ist, dass der mitteilende Rechtsträger in der Lage ist, Datenschutzverstößen und finanziellen Verlusten vorzubeugen, die durch Cyberangriffe verursacht werden könnten, sollten die in Artikel 60 Absatz 7 Buchstabe c der Verordnung (EU) 2023/1114 verlangten Informationen über die eingesetzten IKT-Systeme des mitteilenden Rechtsträgers und die damit verbundenen Sicherheitsvorkehrungen wie Identität und geografischer Standort der Anbieter, eine Beschreibung der ausgelagerten Tätigkeiten oder IKT-Dienste mit ihren Hauptmerkmalen oder eine Kopie der vertraglichen Vereinbarungen auch die personellen Ressourcen umfassen, die für die Bekämpfung von Cybersicherheitsrisiken vorgesehen sind. (7) Die Trennung von Kryptowerten und Geldbeträgen der Kunden schützt Kunden vor Verlusten des Anbieters von Krypto-Dienstleistungen und vor Missbrauch ihrer Kryptowerte und Geldbeträge. Gemäß Artikel 70 der Verordnung (EU) 2023/1114 sind die Anbieter von Krypto-Dienstleistungen daher verpflichtet, angemessene Vorkehrungen zu treffen, um die Eigentumsrechte der Kunden zu schützen. Diese Anforderung gilt auch für Anbieter von Krypto-Dienstleistungen, die keine Verwahrungs- und Verwaltungsdienstleistungen erbringen. (8) Damit die zuständigen Behörden beurteilen können, ob die vom mitteilenden Rechtsträger vorgelegten Betriebsvorschriften für ihre Handelsplattformen für Kryptowerte geeignet sind, sollte der mitteilende Rechtsträger bestimmte Punkte in der Beschreibung dieser Vorschriften genau angeben. Der mitteilende Rechtsträger sollte insbesondere auf Aspekte der Betriebsvorschriften im Zusammenhang mit der Zulassung zum Handel, dem Handel und der Abwicklung von Kryptowerten eingehen. Bezüglich der Zulassung von Kryptowerten zum Handel sollten die mitteilenden Rechtsträger ausführliche Informationen darüber vorlegen, inwieweit die zugelassenen Kryptowerte den Vorschriften des mitteilenden Rechtsträgers entsprechen, welche Arten von Kryptowerten der mitteilende Rechtsträger nicht zum Handel auf seiner Handelsplattform zulässt und aus welchen Gründen er diese ausschließt, sowie Informationen über die Gebühren für die Zulassung zum Handel. Was den Handel mit Kryptowerten anbelangt, sollte der mitteilende Rechtsträger die Elemente der Betriebsvorschriften für die Ausführung und Stornierung von Aufträgen im geordneten Handel, die Transparenz und das Führen von Aufzeichnungen angeben. Schließlich sollte der mitteilende Rechtsträger in die Beschreibung der Betriebsvorschriften die Elemente aufnehmen, die die Abwicklung von auf der Handelsplattform getätigten Transaktionen mit Kryptowerten regeln, einschließlich der Angabe, ob die Abwicklung über die Distributed Ledger Technology (DLT) eingeleitet wird, des Zeitrahmens, in dem die Ausführung eingeleitet wird, der Definition des Zeitpunkts, zu dem die Abwicklung endgültig ist, aller Überprüfungen, die erforderlich sind, um die tatsächliche Abwicklung der Transaktion zu gewährleisten, und aller Maßnahmen zur Begrenzung von gescheiterten Abwicklungen. (9) Damit die zuständigen Behörden die Eignung des mitteilenden Rechtsträgers für die Erbringung bestimmter Krypto-Dienstleistungen wie den Umtausch von Kryptowerten in Geldbeträge oder andere Kryptowerte, die Ausführung, die Beratung in Bezug auf Kryptowerte oder die Portfolioverwaltung von Kryptowerten und Transferdienstleistungen beurteilen können, sollte der mitteilende Rechtsträger im Einzelnen genau angeben, wie diese Krypto-Dienstleistungen erbracht werden und welche Vorkehrungen getroffen wurden, um sicherzustellen, dass der mitteilende Rechtsträger die einschlägigen Bestimmungen der Verordnung (EU) 2023/1114 in Bezug auf die Erbringung dieser Krypto-Dienstleistungen einhält. (10) Die Verarbeitung personenbezogener Daten nach dieser Verordnung muss den Anforderungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (3) entsprechen. (11) Diese Verordnung beruht auf dem Entwurf technischer Regulierungsstandards, der der Kommission von der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) vorgelegt und in enger Zusammenarbeit mit der Europäischen Bankenaufsichtsbehörde ausgearbeitet wurde. (12) Die ESMA hat zu diesem Entwurf öffentliche Konsultationen durchgeführt, die damit verbundenen potenziellen Kosten- und Nutzeffekte analysiert und die Stellungnahme der nach Artikel 37 der Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates (4) eingesetzten Interessengruppe Wertpapiere und Wertpapiermärkte eingeholt. (13) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (5) angehört und hat am 21. Juni 2024 eine förmliche Stellungnahme abgegeben — HAT FOLGENDE VERORDNUNG ERLASSEN: Artikel 1 Geschäftsplan (1) Für die Zwecke von Artikel 60 Absatz 7 Buchstabe a der Verordnung (EU) 2023/1114 legt der mitteilende Rechtsträger der zuständigen Behörde den Geschäftsplan für die nächsten drei Jahre ab dem Datum der Mitteilung vor, einschließlich folgender Informationen: a) wenn der mitteilende Rechtsträger einer Gruppe im Sinne von Artikel 2 Nummer 11 der Richtlinie 2013/34/EU des Europäischen Parlaments und des Rates (6) angehört, eine Erläuterung, wie sich die Tätigkeiten des mitteilenden Rechtsträgers in die Gruppenstrategie einfügen und mit den Tätigkeiten der anderen Unternehmen dieser Gruppe interagieren, einschließlich einer Übersicht über die derzeitige und geplante Organisation und Struktur dieser Gruppe; b) eine Erläuterung, wie sich die Tätigkeiten der mit dem mitteilenden Rechtsträger verbundenen Unternehmen, einschließlich der beaufsichtigten Unternehmen der Gruppe, voraussichtlich auf die Tätigkeiten des mitteilenden Rechtsträgers auswirken werden, inklusive einer Liste der mit dem mitteilenden Rechtsträger verbundenen Unternehmen und Angaben zu diesen Unternehmen sowie, falls es beaufsichtigte Unternehmen gibt, Angaben zu den von diesen Unternehmen erbrachten Dienstleistungen und den Domänennamen aller von diesen Unternehmen betriebenen Websites; c) eine Liste der Krypto-Dienstleistungen, die der mitteilende Rechtsträger zu erbringen beabsichtigt, und der Arten von Kryptowerten, auf die sich die Krypto-Dienstleistungen beziehen; d) sonstige geplante Tätigkeiten, die nach Unionsrecht oder nationalem Recht reguliert oder nicht reguliert sind, einschließlich anderer Dienstleistungen als Krypto-Dienstleistungen, die der mitteilende Rechtsträger zu erbringen beabsichtigt; e) ob der mitteilende Rechtsträger beabsichtigt, Kryptowerte öffentlich anzubieten oder die Zulassung von Kryptowerten zum Handel zu beantragen, und wenn ja, welche Art von Kryptowerten; f) eine Liste der Länder und Gebiete in der Union und in Drittländern, in denen der mitteilende Rechtsträger Krypto-Dienstleistungen zu erbringen beabsichtigt, einschließlich Informationen über die angestrebte Zahl der Kunden nach geografischem Gebiet; g) die Arten potenzieller Kunden, auf die die Krypto-Dienstleistungen des mitteilenden Rechtsträgers abzielen; h) eine Beschreibung der Mittel für den Zugang der Kunden zu den Krypto-Dienstleistungen des mitteilenden Rechtsträgers, einschließlich aller folgenden Angaben: i) Domänennamen für jede Website oder sonstige IKT-gestützte Anwendung, über die der mitteilende Rechtsträger die Krypto-Dienstleistungen erbringt, und Informationen über die Sprachen, in denen die Website oder sonstige IKT-gestützte Anwendung verfügbar sein wird, die Arten von Krypto-Dienstleistungen, auf die über diese Website oder sonstige IKT-gestützte Anwendung zugegriffen wird, und gegebenenfalls, von welchen Mitgliedstaaten aus die Website oder sonstige IKT-gestützte Anwendung zugänglich sein wird; ii) Name jeder IKT-gestützten Anwendung, die den Kunden für den Zugang zu den Krypto-Dienstleistungen zur Verfügung steht, die Sprachen, in denen diese IKT-gestützte Anwendung zur Verfügung steht, und die Krypto-Dienstleistungen, auf die über diese IKT-gestützte Anwendung zugegriffen werden kann; i) geplante Vermarktungs- und Werbemaßnahmen und Vereinbarungen für die Krypto-Dienstleistungen, einschließlich: i) aller für die einzelnen Dienstleistungen zu verwendenden Vermarktungsmittel; ii) der vorgesehenen Mittel zur Identifizierung des mitteilenden Rechtsträgers; iii) Informationen über die relevante Kategorie der Zielkunden; iv) der Arten von Kryptowerten; v) der in Vermarktungs- und Werbemaßnahmen verwendeten Sprachen; j) ausführliche Beschreibung der personellen, finanziellen und IKT-Ressourcen, die den geplanten Krypto-Dienstleistungen zugewiesen werden, und ihres geografischen Standorts; k) der Auslagerungsstrategie des mitteilenden Rechtsträgers und deren Anpassung an Krypto-Dienstleistungen sowie eine ausführliche Beschreibung der geplanten Auslagerungsvereinbarungen des mitteilenden Rechtsträgers, einschließlich gruppeninterner Vereinbarungen, und der Art und Weise, wie der mitteilende Rechtsträger Artikel 73 der Verordnung (EU) 2023/1114 einhalten wird, einschließlich Angaben zu der für die Auslagerung verantwortlichen Funktion oder Person, zu den Personal- und IKT-Ressourcen, die für die Kontrolle der ausgelagerten Funktionen, Dienstleistungen oder Tätigkeiten der damit verbundenen Vereinbarungen vorgesehen sind, sowie zu der Risikobewertung im Zusammenhang mit der Auslagerung; l) der Liste der Unternehmen, die ausgelagerte Dienstleistungen für die Erbringung von Krypto-Dienstleistungen erbringen werden, ihren geografischen Standort und die entsprechenden ausgelagerten Dienstleistungen; m) einer Rechnungslegungsprognose mit Stressszenarien auf Einzel- und gegebenenfalls konsolidierter Gruppen- und teilkonsolidierter Ebene gemäß der Richtlinie 2013/34/EU unter Berücksichtigung von gruppeninternen Darlehen, die vom mitteilenden Rechtsträger und an ihn gewährt werden; n) jeglicher Tausch von Kryptowerten gegen Geldmittel und sonstige Kryptowert-Aktivitäten, die der mitteilende Rechtsträger durchzuführen beabsichtigt, auch über dezentrale Finanzanwendungen, mit denen der mitteilende Rechtsträger auf eigene Rechnung zu interagieren beabsichtigt. (2) Wenn der mitteilende Rechtsträger beabsichtigt, die Dienstleistung der Annahme und Übermittlung von Aufträgen über Kryptowerte für Kunden zu erbringen, legt er der zuständigen Behörde eine Kopie der Verfahren und eine Beschreibung der Vorkehrungen vor, mit denen die Einhaltung von Artikel 80 der Verordnung (EU) 2023/1114 sichergestellt wird. (3) Wenn der mitteilende Rechtsträger beabsichtigt, die Dienstleistung der Platzierung von Kryptowerten zu erbringen, legt er bei der zuständigen Behörde eine Kopie der Verfahren zur Erkennung, Vermeidung, Regelung und Offenlegung von Interessenkonflikten sowie eine Beschreibung der Vorkehrungen vor, die getroffen wurden, um Artikel 79 der Verordnung (EU) 2023/1114 und der Delegierten Verordnung der Kommission zur Festlegung technischer Standards nach Artikel 72 Absatz 5 der Verordnung (EU) 2023/1114 zu entsprechen. Artikel 2 Plan zur Fortführung des Geschäftsbetriebs (1) Für die Zwecke von Artikel 60 Absatz 7 Buchstabe b Ziffer iii der Verordnung (EU) 2023/1114 legt der mitteilende Rechtsträger der zuständigen Behörde eine ausführliche Beschreibung des Plans zur Fortführung des Geschäftsbetriebs vor, einschließlich der Schritte, die zu ergreifen sind, um die Kontinuität und Regelmäßigkeit der Erbringung der Krypto-Dienstleistungen des mitteilenden Rechtsträgers sicherzustellen. (2) Die in Absatz 1 genannte Beschreibung umfasst Folgendes: a) Einzelheiten, aus denen hervorgeht, dass der Plan zur Fortführung des Geschäftsbetriebs geeignet ist und dass Vorkehrungen zur Einhaltung und regelmäßigen Überprüfung dieses Plans getroffen wurden; b) in Bezug auf kritische oder wichtige Funktionen, die von Drittdienstleistern unterstützt werden, Einzelheiten dazu, wie die Fortführung des Geschäftsbetriebs sichergestellt wird, wenn die Qualität der Bereitstellung solcher Funktionen auf ein inakzeptables Niveau sinkt oder wenn diese Funktionen ganz ausfallen; c) Informationen darüber, wie die Fortführung des Geschäftsbetriebs im Falle des Todes eines Verantwortlichen in einer Schlüsselposition gewährleistet wird, und gegebenenfalls Informationen über politische Risiken im Sitzland des Dienstleisters. Artikel 3 Aufdeckung und Vorbeugung von Geldwäsche und Terrorismusfinanzierung Für die Zwecke von Artikel 60 Absatz 7 Buchstabe b Ziffern i und ii der Verordnung (EU) 2023/1114 übermittelt der mitteilende Rechtsträger der zuständigen Behörde Informationen über seine internen Kontrollmechanismen, Strategien und Verfahren zur Einhaltung der nationalen Rechtsvorschriften zur Umsetzung der Richtlinie (EU) 2015/849 und des Risikobewertungsrahmens zur Eindämmung der Risiken im Zusammenhang mit Geldwäsche und Terrorismusfinanzierung, einschließlich aller folgenden Angaben: a) Beurteilung der mit seiner Erbringung von Krypto-Dienstleistungen verbundenen inhärenten Risiken und Restrisiken der Geldwäsche und der Terrorismusfinanzierung durch den mitteilenden Rechtsträger, einschließlich der Risiken im Zusammenhang mit: i) dem Kundenstamm des mitteilenden Rechtsträgers; ii) den erbrachten Dienstleistungen; iii) den verwendeten Vertriebskanälen; iv) dem räumlichen Tätigkeitsgebiet; b) Maßnahmen, die der mitteilende Rechtsträger ergriffen hat oder ergreifen wird, um den ermittelten Risiken vorzubeugen und die geltenden Anforderungen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung zu erfüllen, einschließlich des Risikobewertungsprozesses, der Strategien und Verfahren des mitteilenden Rechtsträgers zur Erfüllung der Sorgfaltspflichten gegenüber Kunden und der Strategien und Verfahren zur Aufdeckung und Meldung verdächtiger Transaktionen oder Tätigkeiten; c) ausführliche Informationen darüber, wie die internen Kontrollmechanismen, Strategien und Verfahren im Hinblick auf Umfang, Art, inhärentes Risiko der Geldwäsche und Terrorismusfinanzierung, einschließlich des Spektrums der erbrachten Krypto-Dienstleistungen, und hinsichtlich der Komplexität des Geschäftsmodells als geeignet und verhältnismäßig anzusehen sind und wie der mitteilende Rechtsträger die Einhaltung der Richtlinie (EU) 2015/849 und der Verordnung (EU) 2023/1113 des Europäischen Parlaments und des Rates (7) gewährleistet; d) die Identität der Person, die für die Einhaltung der Vorschriften zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung durch den mitteilenden Rechtsträger verantwortlich ist, einschließlich von Nachweisen über die Fähigkeiten und Fachkenntnisse dieser Person; e) auf der Grundlage jährlicher Angaben die Vorkehrungen sowie personelle und finanzielle Ressourcen, die sicherstellen, dass das Personal des mitteilenden Rechtsträgers in Fragen der Bekämpfung von Geldwäsche und Terrorismusfinanzierung und im Hinblick auf spezifische Risiken im Zusammenhang mit Kryptowerten hinreichend geschult ist; f) eine Kopie der Strategien, Verfahren und Systeme des mitteilenden Rechtsträgers zur Bekämpfung von Geldwäsche und Terrorismus; g) ein zusammenfassendes Dokument der Änderungen, die infolge der geplanten Krypto-Dienstleistungen an den Verfahren und Systemen des mitteilenden Rechtsträgers zur Bekämpfung von Geldwäsche und Terrorismus vorgenommen wurden; h) die Häufigkeit der Beurteilung der Eignung und Wirksamkeit dieser internen Kontrollmechanismen, Systemen und Verfahren einschließlich der Identität der für diese Beurteilung verantwortlichen Person oder Funktion. Artikel 4 IKT-Systeme und damit verbundene Sicherheitsvorkehrungen Für die Zwecke von Artikel 60 Absatz 7 Buchstabe c der Verordnung (EU) 2023/1114 übermittelt der mitteilende Rechtsträger der zuständigen Behörde folgende Informationen: a) technische Dokumentation der IKT-Systeme, der DLT-Infrastruktur, auf die gegebenenfalls zurückgegriffen wird, und der Sicherheitsvorkehrungen, einschließlich einer Beschreibung der Vorkehrungen und der eingesetzten IKT-Ressourcen und des eingesetzten Personals, die zur Einhaltung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (8) getroffen wurden, einschließlich folgender Angaben: i) einer Beschreibung, wie der mitteilende Rechtsträger als Teil seines Gesamtrisikomanagementsystems einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen sicherstellt, einschließlich einer ausführlichen Beschreibung der IKT-Systeme, -Protokolle und -Instrumente und der Art und Weise, wie die Verfahren, Strategien und Systeme des mitteilenden Rechtsträgers zum Schutz der Sicherheit, Integrität, Verfügbarkeit, Authentizität und Vertraulichkeit der Daten den Vorschriften der Verordnungen (EU) 2022/2554 und (EU) 2016/679 entsprechen; ii) einer Aufstellung der IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen und von dem mitteilenden Rechtsträger entwickelt oder gewartet werden, sowie derer, die von Drittdienstleistern erbracht werden, und einer Beschreibung dieser vertraglichen Vereinbarungen und deren Umsetzung gemäß Artikel 73 der Verordnung (EU) 2023/1114 und Kapitel V der Verordnung (EU) 2022/2554; iii) einer Beschreibung der Verfahren, Strategien, Vorkehrungen und Systeme des mitteilenden Rechtsträgers für die Sicherheit und das Management von Sicherheitsvorfällen; b) falls verfügbar, eine Beschreibung einer Cybersicherheitsprüfung, die von einem externen Cybersicherheitsprüfer mit ausreichender Erfahrung gemäß der Delegierten Verordnung der Kommission zur Festlegung technischer Standards nach Artikel 26 Absatz 11 Unterabsatz 4 der Verordnung (EU) 2022/2554 durchgeführt wurde und idealerweise die folgenden Prüfungen oder Tests durch externe unabhängige Parteien abdeckt: i) Vorkehrungen für die organisatorische Cybersicherheit, die physische Sicherheit und den Lebenszyklus einer sicheren Softwareentwicklung; ii) Bewertungen von Schwachstellen sowie Bewertungen der Netzwerksicherheit; iii) Konfigurationsüberprüfungen von IKT-Assets, die kritische und wichtige Funktionen im Sinne des Artikels 3 Nummer 22 der Verordnung (EU) 2022/2554 unterstützen; iv) Penetrationstests im Sinne von Artikel 3 Nummer 17 der Verordnung (EU) 2022/2554 für IKT-Assets, die kritische und wichtige Funktionen unterstützen, und zwar in Übereinstimmung mit allen folgenden Prüftestansätzen: (1) Black-Box: Dem Prüfer liegen keine anderen Informationen als die IP-Adressen und URL vor, die mit dem Prüfobjekt in Verbindung stehen. Dieser Phase geht in der Regel die Ermittlung von Informationen und die Identifizierung des Zielobjekts voraus, indem DNS-Dienste (Domain Name System) abgefragt werden, nach offenen Ports gesucht wird, Filtersysteme ausfindig gemacht werden; (2) Grey-Box-Phase: Die Prüfer verfügen über die Kenntnisse eines Standardbenutzers des Informationssystems (rechtmäßige Authentifizierung, „Standard“-Arbeitsplatz). Die Kennungen können zu verschiedenen Benutzerprofilen gehören, damit unterschiedliche Berechtigungsstufen getestet werden können; (3) White-Box-Phase: Die Prüfer verfügen vor Beginn der Analyse über so viele technische Informationen wie mögli