Delegierte Verordnung (EU) 2024/1772 der Kommission vom 13. März 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, der Wesentlichkeitsschwellen und der Einzelheiten von Meldungen schwerwiegender Vorfälle

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

nstleistung ausüben; d) die Zahl der betroffenen Transaktionen beläuft sich auf mehr als 10 % der täglichen durchschnittlichen Zahl von Transaktionen, die das Finanzunternehmen im Zusammenhang mit der betroffenen Dienstleistung durchführt; e) der Wert der betroffenen Transaktionen beträgt mehr als 10 % des täglichen Durchschnittswerts der Transaktionen, die das Finanzunternehmen im Zusammenhang mit der betroffenen Dienstleistung durchführt; f) betroffen sind Kunden oder finanzielle Gegenparteien, die nach Artikel 1 Absatz 3 als relevant eingestuft wurden. Lässt sich die tatsächliche Anzahl der betroffenen Kunden oder finanziellen Gegenparteien oder die tatsächliche Anzahl oder der tatsächliche Wert der betroffenen Transaktionen nicht bestimmen, so schätzt das Finanzunternehmen diese Zahlen oder Werte auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen. (2) Die Wesentlichkeitsschwelle für das Kriterium „Reputationsschaden“ ist erreicht, wenn eine der in Artikel 2 Buchstaben a bis d genannten Bedingungen erfüllt ist. (3) Die Wesentlichkeitsschwelle für das Kriterium „Dauer und Ausfallzeiten“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist: a) Der Vorfall dauert mehr als 24 Stunden; b) die Ausfallzeiten bei IKT-Diensten zur Unterstützung kritischer oder wichtiger Funktionen betragen mehr als zwei Stunden. (4) Die Wesentlichkeitsschwelle für das Kriterium „geografische Ausbreitung“ ist erreicht, wenn der Vorfall im Sinne von Artikel 4 Auswirkungen in zwei oder mehr Mitgliedstaaten hat. (5) Die Wesentlichkeitsschwelle für das Kriterium „Verluste von Daten“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist: a) Eine in Artikel 5 genannte Auswirkung auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten hat negative Auswirkungen auf die Verwirklichung der Geschäftsziele des Finanzunternehmens oder auf dessen Fähigkeit, regulatorische Anforderungen zu erfüllen, oder wird solche negativen Auswirkungen haben; b) es findet ein nicht unter Buchstabe a fallender erfolgreicher böswilliger und unbefugter Zugriff auf Netzwerk- und Informationssysteme statt, sofern dieser Zugriff zu Verlusten von Daten führen kann. (6) Die Wesentlichkeitsschwelle für das Kriterium „wirtschaftliche Auswirkungen“ ist erreicht, wenn die Kosten und Verluste, die dem Finanzunternehmen durch den Vorfall entstanden sind, 100 000 EUR übersteigen oder wahrscheinlich übersteigen werden. KAPITEL III ERHEBLICHE CYBERBEDROHUNGEN Artikel 10 Hohe Wesentlichkeitsschwellen für die Bestimmung erheblicher Cyberbedrohungen Für die Zwecke von Artikel 18 Absatz 2 der Verordnung (EU) 2022/2554 wird eine Cyberbedrohung als erheblich angesehen, wenn alle folgenden Bedingungen erfüllt sind: a) Die Cyberbedrohung könnte nach den verfügbaren Informationen des Finanzunternehmens bei Eintritt kritische oder wichtige Funktionen des Finanzunternehmens beeinträchtigen oder beeinträchtigt haben oder könnte andere Finanzunternehmen, Drittdienstleister, Kunden oder finanzielle Gegenparteien beeinträchtigen. b) Die Cyberbedrohung hat eine hohe Eintrittswahrscheinlichkeit bei dem Finanzunternehmen oder bei anderen Finanzunternehmen, wenn mindestens die folgenden Elemente berücksichtigt werden: i) die mit der unter Buchstabe a genannten Cyberbedrohung zusammenhängenden einschlägigen Risiken, insbesondere auch potenzielle Schwachstellen der Systeme des Finanzunternehmens, die ausgenutzt werden können; ii) die Fähigkeiten und Absichten der Angreifer, soweit dem Finanzunternehmen bekannt; iii) das Anhalten der Bedrohung und etwaige Kenntnisse über bisherige Vorfälle, die sich auf das Finanzunternehmen oder dessen Drittdienstleister, Kunden oder finanzielle Gegenparteien ausgewirkt haben. c) Die Cyberbedrohung könnte bei Eintritt das folgende Kriterium oder einen der folgenden Schwellenwerte erfüllen: i) das in Artikel 18 Absatz 1 Buchstabe e der Verordnung (EU) 2022/2554 genannte Kriterium der Kritikalität der Dienste, wie in Artikel 6 der vorliegenden Verordnung ausgeführt; ii) die in Artikel 9 Absatz 1 ausgeführte Wesentlichkeitsschwelle; iii) die in Artikel 9 Absatz 4 ausgeführte Wesentlichkeitsschwelle. Kommt das Finanzunternehmen je nach Art der Cyberbedrohung und den verfügbaren Informationen zu dem Schluss, dass die in Artikel 9 Absätze 2, 3, 5 und 6 genannten Wesentlichkeitsschwellen erreicht werden könnten, so können diese Schwellenwerte ebenfalls berücksichtigt werden. KAPITEL IV RELEVANZ SCHWERWIEGENDER VORFÄLLE FÜR DIE ZUSTÄNDIGEN BEHÖRDEN IN ANDEREN MITGLIEDSTAATEN UND EINZELHEITEN DER MELDUNGEN AN ANDERE ZUSTÄNDIGE BEHÖRDEN Artikel 11 Relevanz schwerwiegender Vorfälle für die zuständigen Behörden in anderen Mitgliedstaaten Die in Artikel 19 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bewertung, ob der schwerwiegende Vorfall für die zuständigen Behörden in anderen Mitgliedstaaten von Belang ist, stützt sich darauf, ob der Vorfall eine von einem anderen Mitgliedstaat ausgehende Ursache oder in einem anderen Mitgliedstaat erhebliche Auswirkungen in Bezug auf eines von Folgendem hat: a) Kunden oder finanzielle Gegenparteien; b) eine Zweigniederlassung des Finanzunternehmens oder ein anderes Finanzunternehmen innerhalb der Gruppe; c) eine Finanzmarktinfrastruktur oder einen Drittdienstleister mit potenziellen Auswirkungen auf die Finanzunternehmen, für die Dienstleistungen erbracht werden. Artikel 12 An andere zuständige Behörden zu übermittelnde Einzelheiten zu schwerwiegenden Vorfällen Die Einzelheiten schwerwiegender Vorfälle, die von den zuständigen Behörden nach Artikel 19 Absatz 6 der Verordnung (EU) 2022/2554 an andere zuständige Behörden zu übermitteln sind, und die Benachrichtigungen, die die EBA, die ESMA oder die EIOPA und die EZB nach Artikel 19 Absatz 7 der genannten Verordnung an die jeweils zuständigen Behörden in anderen Mitgliedstaaten zu übermitteln haben, weisen denselben Umfang an Informationen — ohne Anonymisierung — auf wie die Meldungen schwerwiegender Vorfälle, die nach Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 von Finanzunternehmen vorzulegen sind. KAPITEL V SCHLUSSBESTIMMUNGEN Artikel 13 Inkrafttreten Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Brüssel, den 13. März 2024 Für die Kommission Die Präsidentin Ursula VON DER LEYEN (1) ABl. L 333 vom 27.12.2022, S. 1. ELI: http://data.europa.eu/eli/reg/2022/2554/oj. (2) Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 2002/65/EG, 2009/110/EG und 2013/36/EU und der Verordnung (EU) Nr. 1093/2010 sowie zur Aufhebung der Richtlinie 2007/64/EG (ABl. L 337 vom 23.12.2015, S. 35. ELI: http://data.europa.eu/eli/dir/2015/2366/oj). (3) Delegierte Verordnung (EU) 2018/959 der Kommission vom 14. März 2018 zur Ergänzung der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Beurteilungsmethode, nach der die zuständigen Behörden Instituten die Verwendung fortgeschrittener Messansätze für operationelle Risiken gestatten (ABl. L 169 vom 6.7.2018, S. 1. ELI: http://data.europa.eu/eli/reg_del/2018/959/oj). (4) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj). (5) Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (ABl. L 201 vom 31.7.2002, S. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj). (6) Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Bankenaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/78/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 12. ELI: http://data.europa.eu/eli/reg/2010/1093/oj). (7) Verordnung (EU) Nr. 1094/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/79/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 48. ELI: http://data.europa.eu/eli/reg/2010/1094/oj). (8) Verordnung (EU) Nr. 1095/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Wertpapier- und Marktaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/77/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 84. ELI: http://data.europa.eu/eli/reg/2010/1095/oj). (9) Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (ABl. L 295 vom 21.11.2018, S. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj). ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ISSN 1977-0642 (electronic edition)