Delegierte Verordnung (EU) 2025/305 der Kommission vom 31. Oktober 2024 zur Ergänzung der Verordnung (EU) 2023/1114 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der in einen Antrag auf Zulassung als Anbieter von Krypto-Dienstleistungen aufzunehmenden Angaben

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

schluss der letzten drei Jahre, der — sofern geprüft — von einem externen Rechnungsprüfer genehmigt wurde; d) eine Beschreibung der Planungs- und Überwachungsverfahren des Antragstellers für prudentielle aufsichtsrechtliche Sicherheitsvorkehrungen gemäß Artikel 67 Absatz 1 der Verordnung (EU) 2023/1114; e) Nachweis, dass der Antragsteller die in Artikel 67 der Verordnung (EU) 2023/1114 dargelegten prudentiellen aufsichtsrechtlichen Sicherheitsvorkehrungen erfüllt, einschließlich: i) in Bezug auf die Eigenmittel gemäß Artikel 67 Absatz 4 Buchstabe a der Verordnung (EU) 2023/1114: (1) einer Dokumentation, aus der hervorgeht, wie der Antragsteller den Betrag der prudentiellen aufsichtsrechtlichen Sicherheitsvorkehrungen gemäß Artikel 67 der Verordnung (EU) 2023/1114 berechnet hat; (2) bei Unternehmen oder anderen juristischen Personen, die bereits tätig sind und deren Abschlüsse nicht geprüft werden, einer Bescheinigung der nationalen Aufsichtsbehörde über die Höhe der Eigenmittel des Antragstellers; (3) bei Unternehmen, die sich in der Gründungsphase befinden, eines von einem Kreditinstitut ausgestellten Auszugs, aus dem hervorgeht, dass die Geldbeträge auf dem Bankkonto des Antragstellers hinterlegt sind; ii) in Bezug auf die Versicherungspolice oder vergleichbare Garantie gemäß Artikel 67 Absatz 4 Buchstabe b der Verordnung (EU) 2023/1114: (1) des eingetragenen Namens, des Datums der Gesellschaftseintragung oder -gründung und des Mitgliedstaats, in dem der Antragsteller eingetragen oder gegründet wurde, der Anschrift des Hauptsitzes und, falls abweichend, des Gesellschaftssitzes sowie der Kontaktdaten des Unternehmens, das zur Erbringung der Versicherungspolice oder vergleichbaren Garantie befugt ist; (2) einer Kopie der folgenden Unterlagen: — gezeichnete Versicherungspolice, die alle erforderlichen Elemente enthält, um Artikel 67 Absätze 5 und 6 der Verordnung (EU) 2023/1114 zu entsprechen, sofern verfügbar; — Versicherungsvertrag, der alle zur Einhaltung von Artikel 67 Absätze 5 und 6 der Verordnung (EU) 2023/1114 erforderlichen Elemente enthält und von einem nach Unionsrecht oder nationalem Recht zur Erbringung von Versicherungsleistungen befugten Unternehmen unterzeichnet wurde. Artikel 4 Informationen über die Regelungen für die Unternehmensführung und die internen Kontrollmechanismen sowie Interessenkonflikte (1) Für die Zwecke von Artikel 62 Absatz 2 Buchstaben f und i der Verordnung (EU) 2023/1114 übermitteln Antragsteller der zuständigen Behörde folgende Informationen über ihre Regelungen für die Unternehmensführung und die internen Kontrollmechanismen: a) eine ausführliche Beschreibung der Organisationsstruktur des Antragstellers, die gegebenenfalls die gesamte Gruppe umfasst, einschließlich der Angabe der Verteilung der Aufgaben und Befugnisse und der entsprechenden Berichterstattungspflichten sowie der eingerichteten internen Kontrollen, zusammen mit einem Organigramm; b) Personalien der Leiter interner Funktionen (Verwaltungs-, Aufsichts- und interne Kontrollfunktionen), einschließlich ihres Standorts und eines Lebenslaufs, aus dem die einschlägige Ausbildung, Berufsausbildung und Berufserfahrung hervorgehen, sowie eine Beschreibung der Kenntnisse, Fähigkeiten und Erfahrungen, die für die Wahrnehmung der den Leitern interner Funktionen übertragenen Aufgaben erforderlich sind; c) die Strategien und Verfahren, die hinreichend wirksam sind, um die Einhaltung der Verordnung (EU) 2023/1114 gemäß Artikel 68 Absatz 4 der genannten Verordnung zu gewährleisten, sowie eine ausführliche Beschreibung der Vorkehrungen, mit denen sichergestellt wird, dass das betreffende Personal die Verfahren kennt, die es zur ordnungsgemäßen Wahrnehmung seiner Aufgaben einhalten muss, einschließlich einer ausführlichen Beschreibung der Verfahren, nach denen das Personal des Antragstellers potenzielle oder tatsächliche Verstöße gegen die Verordnung (EU) 2023/1114 gemäß Artikel 116 besagter Verordnung melden kann; d) eine ausführliche Beschreibung der Vorkehrungen für die Aufzeichnung der Geschäftstätigkeit und der internen Organisation des Antragstellers gemäß Artikel 68 Absatz 9 der Verordnung (EU) 2023/1114, einschließlich der Vorkehrungen des Antragstellers für die Aufzeichnung gemäß der Delegierten Verordnung der Kommission zur Festlegung technischer Standards nach Artikel 68 Absatz 10 Buchstabe b der Verordnung (EU) 2023/1114; e) die Vorkehrungen, die es dem Leitungsorgan ermöglichen, die Wirksamkeit der zur Einhaltung von Titel V Kapitel 2 und 3 der Verordnung (EU) 2023/1114 eingeführten Regelungen und Verfahren gemäß Artikel 68 Absatz 6 der genannten Verordnung zu bewerten und regelmäßig zu überprüfen, einschließlich aller folgenden Punkte: i) Angabe der internen Kontrollfunktionen, die für die Überwachung dieser Strategien und Verfahren zuständig sind, sowie des Umfangs ihrer Verantwortungsbereiche und Berichterstattungspflichten gegenüber dem Leitungsorgan des Antragstellers; ii) Angabe der Zeitabstände, in denen die internen Kontrollfunktionen dem Leitungsorgan des Antragstellers über die Wirksamkeit dieser Strategien und Verfahren Bericht erstatten; iii) Erläuterung: (1) wie der Antragsteller sicherstellt, dass die internen Kontrollfunktionen unabhängig und getrennt von den Funktionen agieren, die sie kontrollieren; (2) ob die internen Kontrollfunktionen Zugang zu den erforderlichen Ressourcen und Informationen haben; (3) ob diese internen Kontrollfunktionen dem Leitungsorgan des Antragstellers sowohl mindestens einmal jährlich als auch ad hoc Bericht erstatten können, unter anderem auch dann, wenn sie ein erhebliches Risiko feststellen, dass der Antragsteller seinen Verpflichtungen aus der Verordnung (EU) 2023/1114 nicht nachkommt; iv) eine Beschreibung der IKT-Systeme, Sicherheitsvorkehrungen und Kontrollen, die zur Überwachung der Tätigkeiten des Antragstellers und zur Einhaltung von Titel V Kapitel 2 und 3 der Verordnung (EU) 2023/1114 eingerichtet wurden, einschließlich der Back-up-Systeme, sowie der IKT-Systeme und Risikokontrollen, sofern diese nicht gemäß Artikel 9 der vorliegenden Verordnung übermittelt wurden; f) gegebenenfalls eine Beschreibung der Vorkehrungen zur Verhinderung und Aufdeckung von Marktmissbrauch gemäß Artikel 92 der Verordnung (EU) 2023/1114; g) ob der Antragsteller externe Rechnungsprüfer bestellt hat oder bestellen wird, und, falls dies der Fall ist, deren Namen und Kontaktdaten, sofern verfügbar; h) die Rechnungslegungsmethoden und -verfahren, nach denen der Antragsteller seine Finanzdaten erfassen und ausweisen wird, einschließlich des Anfangs- und Enddatums des angewandten Rechnungsjahres. (2) Gemäß Artikel 72 der Verordnung (EU) 2023/1114 zur Erkennung, Vermeidung, Regelung und Offenlegung von Interessenkonflikten haben Antragsteller der zuständigen Behörde alle folgenden Informationen über den Umgang mit Interessenkonflikten vorzulegen: a) eine Kopie der Strategie des Antragstellers für den Umgang mit Interessenkonflikten sowie eine Beschreibung, wie diese Strategie: i) sicherstellt, dass der Antragsteller Interessenkonflikte gemäß Artikel 72 Absatz 1 der Verordnung (EU) 2023/1114 erkennt, vermeidet und regelt und wie er Interessenkonflikte gemäß Artikel 72 Absatz 2 der genannten Verordnung offenlegt; ii) im Hinblick auf den Umfang, die Art und das Spektrum der Krypto-Dienstleistungen, die der Antragsteller zu erbringen beabsichtigt, und die sonstigen Tätigkeiten der Gruppe, der der Antragsteller angehört, als geeignet anzusehen ist; iii) sicherstellt, dass die Vergütungspolitik, -verfahren und -vereinbarungen nicht zu Interessenkonflikten führen; b) wie die Strategie des Antragstellers für den Umgang mit Interessenkonflikten die Einhaltung der Delegierten Verordnung der Kommission zur Festlegung technischer Standards nach Artikel 72 Absatz 5 der Verordnung (EU) 2023/1114 gewährleistet, einschließlich Informationen über die Systeme und Vorkehrungen, die der Antragsteller eingerichtet hat, um: i) die Wirksamkeit der betreffenden Strategie für den Umgang mit Interessenkonflikten zu überwachen, zu bewerten und zu überprüfen und etwaige Mängel zu beheben; ii) Fälle von Interessenkonflikten zu erfassen, einschließlich der Erkennung, Bewertung und Behebung sowie der Frage, ob der Fall dem Kunden gegenüber offengelegt wurde. Artikel 5 Plan zur Fortführung des Geschäftsbetriebs (1) Für die Zwecke von Artikel 62 Absatz 2 Buchstabe i der Verordnung (EU) 2023/1114 legen die Antragsteller der zuständigen Behörde eine ausführliche Beschreibung des Plans zur Fortführung des Geschäftsbetriebs vor, einschließlich der Schritte, die zu ergreifen sind, um die Kontinuität und Regelmäßigkeit der Erbringung der Krypto-Dienstleistungen des Antragstellers sicherzustellen. (2) Die in Absatz 1 genannte Beschreibung umfasst Folgendes: a) Einzelheiten, die belegen, dass der Plan zur Fortführung des Geschäftsbetriebs geeignet ist und dass Vorkehrungen zur Einhaltung und regelmäßigen Überprüfung dieses Plans getroffen wurden; b) in Bezug auf kritische oder wichtige Funktionen, die von Drittdienstleistern unterstützt werden, Informationen darüber, wie die Fortführung des Geschäftsbetriebs sichergestellt wird, wenn die Qualität der Bereitstellung solcher Funktionen auf ein inakzeptables Niveau sinkt oder wenn diese Funktionen ganz ausfallen; c) Informationen darüber, wie die Fortführung des Geschäftsbetriebs im Falle des Todes eines Verantwortlichen in einer Schlüsselposition gewährleistet wird, und gegebenenfalls Informationen über politische Risiken im Sitzland des Dienstleisters. Artikel 6 Aufdeckung und Vorbeugung von Geldwäsche und Terrorismusfinanzierung Für die Zwecke von Artikel 62 Absatz 2 Buchstabe i der Verordnung (EU) 2023/1114 übermitteln Antragsteller der zuständigen Behörde Informationen über ihre internen Kontrollmechanismen, Strategien und Verfahren zur Einhaltung der nationalen Rechtsvorschriften zur Umsetzung der Richtlinie (EU) 2015/849 und des Risikobewertungsrahmens zur Eindämmung der Risiken im Zusammenhang mit Geldwäsche und Terrorismusfinanzierung, einschließlich aller folgenden Angaben: a) Beurteilung der mit seiner Geschäftstätigkeit verbundenen inhärenten Risiken und Restrisiken der Geldwäsche und der Terrorismusfinanzierung durch den Antragsteller, einschließlich der Risiken im Zusammenhang mit: i) dem Kundenstamm des Antragstellers; ii) erbrachten Dienstleistungen; iii) verwendeten Vertriebskanälen; iv) dem räumlichen Tätigkeitsgebiet; b) Maßnahmen, die der Antragsteller ergriffen hat oder ergreifen wird, um den ermittelten Risiken vorzubeugen und geltende Anforderungen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung zu erfüllen, einschließlich des Risikobewertungsprozesses, der Strategien und Verfahren des Antragstellers zur Erfüllung der Sorgfaltspflichten gegenüber Kunden und der Strategien und Verfahren zur Aufdeckung und Meldung verdächtiger Transaktionen oder Tätigkeiten; c) ausführliche Informationen darüber, wie diese internen Kontrollmechanismen, Strategien und Verfahren im Hinblick auf Umfang, Art, inhärentes Risiko der Geldwäsche und Terrorismusfinanzierung, Spektrum der erbrachten Krypto-Dienstleistungen und Komplexität des Geschäftsmodells als geeignet und verhältnismäßig anzusehen sind und wie diese Mechanismen, Strategien und Verfahren die Einhaltung der Richtlinie (EU) 2015/849 und der Verordnung (EU) 2023/1113 gewährleisten; d) die Identität der Person, die für die Einhaltung der Vorschriften zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung verantwortlich ist, sowie Nachweise über die Kenntnisse, Fähigkeiten und Berufserfahrung dieser Person; e) Vorkehrungen sowie personelle und finanzielle Ressourcen, mit denen sichergestellt wird, dass das Personal des Antragstellers in Fragen der Bekämpfung von Geldwäsche und Terrorismusfinanzierung und im Hinblick auf spezifische Risiken im Zusammenhang mit Kryptowerten hinreichend geschult ist (jährliche Angaben); f) Kopie der Strategien, Verfahren und Systeme des Antragstellers zur Bekämpfung von Geldwäsche und Terrorismus; g) Häufigkeit der Beurteilung der Eignung und Wirksamkeit dieser internen Kontrollmechanismen, Strategien und Verfahren sowie die für diese Beurteilung verantwortliche Person oder Funktion. Artikel 7 Identität und Nachweis des guten Leumunds, der Kenntnisse, Fähigkeiten und Erfahrung sowie eines ausreichenden Zeitaufwands der Mitglieder des Leitungsorgans (1) Für die Zwecke von Artikel 62 Absatz 2 Buchstabe g der Verordnung (EU) 2023/1114 übermitteln Antragsteller der zuständigen Behörde für jedes Mitglied des Leitungsorgans alle folgenden Informationen: a) vollständiger Name und, falls abweichend, Geburtsname; b) Geburtsort und -datum, Anschrift und Kontaktdaten des derzeitigen Wohnorts und jedes anderen Wohnorts in den letzten zehn Jahren, Staatsangehörigkeit(en), nationale Identifikationsnummer und Kopie eines amtlichen Ausweisdokuments oder eines gleichwertigen Dokuments; c) Einzelheiten zu der Position, die das Mitglied des Leitungsorgans innehat oder innehaben wird, einschließlich der Angabe, ob es sich um eine leitende oder nichtleitende Position handelt, des Startdatums oder des geplanten Startdatums und der Dauer des Mandats sowie einer Beschreibung der wichtigsten Pflichten und Aufgaben der Person; d) Lebenslauf mit Angaben zum maßgeblichen Bildungs- und Berufsabschluss sowie zur Berufserfahrung mit Namen und Art aller Organisationen, für die das Mitglied in den letzten zehn Jahren tätig war, sowie Art und Dauer der ausgeübten Funktionen in den von ihm bekleideten Positionen, wobei insbesondere alle Tätigkeiten hervorzuheben sind, die in den Bereich der vorgesehenen Position fallen, einschließlich Berufserfahrung mit Bezug zu Finanzdienstleistungen, Kryptowerten oder anderen digitalen Vermögenswerten, DLT, Informationstechnologie, Cybersicherheit oder digitaler Innovation; e) Unterlagen über den Leumund und die Erfahrung des Mitglieds, insbesondere eine Liste von Referenzpersonen, einschließlich Kontaktdaten und Empfehlungsschreiben; f) Vorgeschichte des Mitglieds, insbesondere alle folgenden Angaben: i) Vorstrafenfreiheit; ii) Informationen über anhängige Straf- oder Ermittlungsverfahren oder Sanktionen (im Zusammenhang mit Handelsrecht, Finanzdienstleistungsrecht, Geldwäsche und Terrorismusfinanzierung, Betrug oder Berufshaftpflicht), Informationen über Vollstreckungsverfahren oder Sanktionen, Informationen über einschlägige Zivil- und Verwaltungsverfahren und Disziplinarmaßnahmen, einschließlich des Ausschlusses als Unternehmensleiter, Konkurs, Insolvenz und ähnliche Verfahren; iii) Informationen über die Verweigerung, den Entzug, den Widerruf oder die Beendigung einer zur Ausübung einer Handelstätigkeit, einer unternehmerischen Tätigkeit oder einer freiberuflichen Tätigkeit erforderlichen Registrierung, Genehmigung, Mitgliedschaft oder Zulassung sowie Informationen über einen Ausschluss durch eine Regulierungsstelle oder staatliche Einrichtung oder durch einen Berufsverband oder eine Berufsvereinigung; iv) Informationen über die Entlassung aus einer Vertrauensstellung oder einem Treuhandverhältnis oder einer vergleichbaren Situation; v) Angaben dazu, ob eine Behörde den Leumund der Person beurteilt hat, einschließlich des Namens dieser Behörde, des Datums der Beurteilung und Angaben zum Ergebnis dieser Beurteilung; g) Beschreibung etwaiger finanzieller und nichtfinanzieller Interessen oder Beziehungen des Mitglieds und seiner nahen Angehörigen zu anderen Mitgliedern des Leitungsorgans und zu Inhabern von Schlüsselfunktionen in demselben Institut, im Mutterinstitut und in Tochterunternehmen sowie bei Anteilseignern; diese Information ist aufgrund potenzieller Interessenkonflikte relevant; h) bei Feststellung eines wesentlichen Interessenkonflikts eine Erklärung dazu, wie dieser Konflikt gemindert oder behoben wird, einschließlich eines Verweises auf die entsprechende Strategie für den Umgang mit Interessenkonflikten; i) Informationen über den Zeitaufwand für die Erfüllung der Aufgaben des Mitglieds beim Antragsteller, einschließlich aller folgenden Angaben: i) die geschätzte Zeit pro Jahr und pro Monat, die das Mitglied mindestens für die Wahrnehmung seiner Aufgaben beim Antragsteller aufwenden wird; ii) eine Liste der von dem Mitglied ausgeübten sonstigen Leitungs- und Aufsichtsfunktionen, die sich auf gewerbliche und nichtgewerbliche Tätigkeiten beziehen oder die ausschließlich zum Zwecke der Verwaltung der wirtschaftlichen Interessen des betreffenden Mitglieds geschaffen wurden; iii) Angaben zur Größe und Komplexität der Unternehmen oder Organisationen, in denen die unter Ziffer ii genannten Leitungs- und Aufsichtsfunktionen ausgeübt werden, einschließlich der Summe der Aktiva, auf der Grundlage des letzten verfügbaren Jahresabschlusses unabhängig davon, ob das Unternehmen notiert ist oder nicht, und der Zahl der Beschäftigten dieser Unternehmen oder Organisationen; iv) eine Liste aller zusätzlichen Zuständigkeitsbereiche im Zusammenhang mit den in Ziffer ii genannten Leitungs- und Aufsichtsfunktionen, einschließlich des Vorsitzes in einem Ausschuss; v) die geschätzte Zeit (in Tagen pro Jahr), die für die sonstigen unter Ziffer ii genannten Leitungs- und Aufsichtsfunktionen vorgesehen ist, und die Anzahl der Sitzungen pro Jahr, die für jedes Mandat vorgesehen sind. Für die Zwecke von Buchstabe d macht der Antragsteller detaillierte Angaben zu allen übertragenen Befugnissen und internen Entscheidungsbefugnissen sowie zu den Tätigkeitsfeldern, in denen die Befugnisse ausgeübt werden. Für die Zwecke von Buchstabe f Ziffern i und ii legt der Antragsteller die Informationen in Form einer amtlichen Bescheinigung vor, sofern diese von dem betreffenden Mitgliedstaat oder Drittland ausgestellt wurde, oder in Form eines anderen gleichwertigen Dokuments, sofern eine solche Bescheinigung nicht vorliegt. Amtliche Unterlagen, Bescheinigungen und Dokumente müssen innerhalb von drei Monaten vor Einreichung des Zulassungsantrags ausgestellt worden sein. Bei laufenden Ermittlungen können die Angaben in Form einer eidesstattlichen Erklärung erfolgen. Für die Zwecke von Buchstabe f Ziffer iv ist der Antragsteller nicht verpflichtet, die Informationen über die vorherige Beurteilung vorzulegen, wenn die zuständige Behörde bereits über solche Informationen verfügt. Für die Zwecke von Buchstabe g umfasst die Beschreibung alle finanziellen Interessen, einschließlich Kryptowerten, anderen digitalen Vermögenswerten, Darlehen, Beteiligungen, Garantien oder Sicherungsrechten, die die Person gewährt oder erhalten hat, sowie Geschäftsbeziehungen, Gerichtsverfahren und Angaben dazu, ob es sich bei der Person in den letzten zwei Jahren um eine politisch exponierte Person im Sinne des Artikels 3 Nummer 9 der Richtlinie (EU) 2015/849 handelte. (2) Ein Antragsteller, der die Zulassung als Anbieter von Krypto-Dienstleistungen gemäß Artikel 62 der Verordnung (EU) 2023/1114 beantragt, legt der zuständigen Behörde die Ergebnisse aller vom Antragsteller durchgeführten Eignungsbeurteilungen jedes einzelnen Mitglieds des Leitungsorgans und die Ergebnisse der Beurteilung der kollektiven Eignung des Leitungsorgans, einschließlich des Berichts über die Eignungsbeurteilung oder der Unterlagen über das Ergebnis der Eignungsbeurteilung, vor. Artikel 8 Informationen zu Anteilseignern oder Gesellschaftern mit qualifizierten Beteiligungen Für die Zwecke von Artikel 62 Absatz 2 Buchstabe h der Verordnung (EU) 2023/1114 übermitteln Antragsteller der zuständigen Behörde alle folgenden Informationen: a) ein detailliertes Organigramm der Beteiligungsstruktur des Antragstellers, einschließlich der Aufschlüsselung seines Kapitals und seiner Stimmrechte und der Namen der Anteilseigner oder Gesellschafter mit qualifizierten Beteiligungen; b) für jeden Anteilseigner oder Gesellschafter, der eine direkte oder indirekte qualifizierte Beteiligung am Antragsteller hält, gegebenenfalls die in den Artikeln 1 bis 4 der Delegierten Verordnung (EU) 2025/414 der Kommission (8) genannten Informationen und Unterlagen; c) die Identität aller Mitglieder des Leitungsorgans, die die Geschäfte des Antragstellers leiten werden und von diesen Anteilseignern oder Gesellschaftern oder auf deren Vorschlag hin ernannt werden; d) für jeden Anteilseigner oder Gesellschafter, der eine direkte oder indirekte qualifizierte Beteiligung am Antragsteller hält, Angaben zur Anzahl und Art der gezeichneten oder zu zeichnenden Anteile oder sonstigen Beteiligungen, deren Nennwert, etwaige gezahlte oder zu zahlende Prämien, etwaige Sicherungsrechte oder Belastungen, einschließlich der Identität der gesicherten Parteien; e) Informationen gemäß Artikel 6 Buchstaben b, d und e und Artikel 8 der Delegierten Verordnung (EU) 2025/414. Artikel 9 IKT-Systeme und damit verbundene Sicherheitsvorkehrungen Für die Zwecke von Artikel 62 Absatz 2 Buchstabe j der Verordnung (EU) 2023/1114 übermitteln Antragsteller der zuständigen Behörde folgende Informationen: a) technische Dokumentation der IKT-Systeme, der DLT-Infrastruktur, auf die gegebenenfalls zurückgegriffen wird, und der Sicherheitsvorkehrungen, einschließlich einer Beschreibung der Vorkehrungen und der eingesetzten IKT-Ressourcen und des eingesetzten Personals, die zur Einhaltung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (9) getroffen wurden, wie nachfolgend erläutert: i) eine Beschreibung, wie der Antragsteller als Teil seines Gesamtrisikomanagementsystems einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen sicherstellt, einschließlich einer ausführlichen Beschreibung der IKT-Systeme, -Protokolle und -Instrumente und der Art und Weise, wie die Verfahren, Strategien und Systeme des Antragstellers zum Schutz der Sicherheit, Integrität, Verfügbarkeit, Authentizität und Vertraulichkeit der Daten den Vorschriften der Verordnungen (EU) 2022/2554 und (EU) 2016/679 entsprechen; ii) eine Aufstellung der IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen und vom Antragsteller entwickelt oder gewartet werden, und der IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen und von Drittdienstleistern erbracht werden, eine Beschreibung der entsprechenden vertraglichen Vereinbarungen (Identität und geografischer Standort der Dienstleister, Beschreibung der ausgelagerten Tätigkeiten oder IKT-Dienstleistungen mit ihren wichtigsten Merkmalen, Kopie der vertraglichen Vereinbarungen) und wie diese Vereinbarungen Artikel 73 der Verordnung (EU) 2023/1114 und Kapitel V der Verordnung (EU) 2022/2554 entsprechen; iii) eine Beschreibung der Verfahren, Strategien, Vorkehrungen und Systeme des Antragstellers für die Sicherheit und das Management von Sicherheitsvorfällen; b) falls verfügbar, eine Beschreibung einer Cybersicherheitsprüfung, die von einem externen Cybersicherheitsprüfer mit ausreichender Erfahrung gemäß der Delegierten Verordnung der Kommission zur Festlegung technischer Standards nach Artikel 26 Absatz 11 Unterabsatz 4 der Verordnung (EU) 2022/2554 durchgeführt wurde und idealerweise die folgenden Prüfungen oder Tests abdeckt: i) Vorkehrungen für die organisatorische Cybersicherheit, die physische Sicherheit und den Lebenszyklus einer sicheren Softwareentwicklung; ii) Bewertungen und Scans von Schwachstellen sowie Bewertungen der Netzwerksicherheit; iii) Konfigurationsüberprüfungen von IKT-Assets, die kritische und wichtige Funktionen im Sinne des Artikels 3 Nummer 22 der Verordnung (EU) 2022/2554 unterstützen; iv) Penetrationstests im Sinne von Artikel 3 Nummer 17 der Verordnung (EU) 2022/2554 für IKT-Assets, die kritische und wichtige Funktionen unterstützen, und zwar in Übereinstimmung mit allen folgenden Prüftestansätzen: (1) Black-Box: Dem Prüfer liegen keine andere