DELEGIERTE VERORDNUNG (EU) 2024/436 DER KOMMISSION
vom 20. Oktober 2023
zur Ergänzung der Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates durch Festlegung von Vorschriften für die Durchführung von Prüfungen sehr großer Online-Plattformen und sehr großer Online-Suchmaschinen
ABSCHNITT I
Allgemeine Bestimmungen
Artikel 1
Gegenstand
In dieser Verordnung werden Vorschriften für die Durchführung von Prüfungen nach Artikel 37 der Verordnung (EU) 2022/2065 in Bezug auf Folgendes festgelegt:
die Verfahrensschritte, mit denen sichergestellt wird, dass die auszuwählende Prüfstelle die in Artikel 37 Absatz 3 der Verordnung (EU) 2022/2065 festgelegten Bedingungen erfüllt;
die Verfahrensschritte für die Zusammenarbeit und die Unterstützung durch den geprüften Anbieter bei der Durchführung von Prüfungen, einschließlich des Zugangs zu einschlägigen Informationen im Hinblick auf die Erlangung von Prüfbelegen;
die Festlegung und Auswahl der Prüfungsmethoden;
die Vorlagen für den Prüfbericht und den Bericht über die Umsetzung der Prüfergebnisse.
Artikel 2
Begriffsbestimmungen
Für die Zwecke dieser Verordnung bezeichnet der Ausdruck
„Prüfstelle“ eine einzelne Organisation, ein Konsortium oder eine sonstige Kombination von Organisationen, einschließlich Unterauftragnehmern, die der geprüfte Anbieter mit der Durchführung einer unabhängigen Prüfung nach Artikel 37 der Verordnung (EU) 2022/2065 beauftragt hat;
„geprüfter Dienst“ eine sehr große Online-Plattform oder eine sehr große Online-Suchmaschine, die nach Artikel 33 der Verordnung (EU) 2022/2065 benannt wurde;
„geprüfter Anbieter“ den Anbieter eines geprüften Dienstes, der unabhängigen Prüfungen nach Artikel 37 Absatz 1 der genannten Verordnung unterliegt;
„geprüfte Pflicht oder Verpflichtungszusage“ eine Pflicht oder Verpflichtungszusage nach Artikel 37 Absatz 1 der Verordnung (EU) 2022/2065, die Gegenstand der Prüfung ist;
„Prüfkriterien“ die Kriterien, anhand deren die Prüfstelle die Einhaltung jeder geprüften Pflicht oder Verpflichtungszusage bewertet;
„Prüfbelege“ sämtliche Informationen, die von einer Prüfstelle zur Untermauerung der Prüfungsfeststellungen und -schlussfolgerungen und zur Abgabe einer Stellungnahme verwendet werden, einschließlich Daten aus Dokumenten, Datenbanken oder IT-Systemen, Befragungen oder Tests;
„Falschangabe“ eine vorsätzliche oder unbeabsichtigte Auslassung, eine falsche Darstellung oder einen Fehler in den Erklärungen oder Daten, die der geprüfte Anbieter der Prüfstelle mitgeteilt oder übermittelt hat, oder in der Testumgebung, die der geprüfte Anbieter der Prüfstelle bereitgestellt hat;
„Prüfrisiko“ das Risiko, dass die Prüfstelle eine unzutreffende Stellungnahme abgibt oder zu einer unzutreffenden Schlussfolgerung hinsichtlich der Einhaltung einer geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter gelangt, wobei die Aufdeckungsrisiken, inhärenten Risiken und Kontrollrisiken in Bezug auf die geprüfte Pflicht oder Verpflichtungszusage zu berücksichtigen sind;
„Aufdeckungsrisiko“ das Risiko, dass die Prüfstelle eine Falschangabe nicht entdeckt, die für die Bewertung der Einhaltung einer geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter relevant ist;
„inhärentes Risiko“ das Risiko der Nichteinhaltung, das untrennbar mit der Art, der Konzeption, der Tätigkeit und der Nutzung des geprüften Dienstes sowie dem Kontext, in dem dieser betrieben wird, zusammenhängt, sowie das Risiko der Nichteinhaltung im Zusammenhang mit der Art der geprüften Pflicht oder Verpflichtungszusage;
„Kontrollrisiko“ das Risiko, dass Falschangaben nicht rechtzeitig im Rahmen interner Kontrollen des geprüften Anbieters verhindert, entdeckt und korrigiert werden;
„Wesentlichkeitsschwelle“ den Schwellenwert, über dem Abweichungen oder Falschangaben des geprüften Anbieters — einzeln oder in aggregierter Form — die Prüfungsfeststellungen und -schlussfolgerungen sowie die Stellungnahmen ernsthaft beeinträchtigen;
„hinreichendes Maß an Sicherheit“ ein hohes, aber nicht absolutes Maß an Sicherheit, das es der Prüfstelle ermöglicht, in ihrer Stellungnahme und ihren Prüfungsschlussfolgerungen auf der Grundlage ausreichender und geeigneter Nachweise festzustellen, ob der geprüfte Anbieter die geprüften Pflichten oder Verpflichtungszusagen einhält;
„interne Kontrolle“ sämtliche Maßnahmen, Verfahren und Tests, die vom geprüften Anbieter, einschließlich seiner Compliance-Beauftragten und seines Leitungsorgans, konzipiert, umgesetzt und aufrechterhalten werden, um die Einhaltung der geprüften Pflicht oder Verpflichtungszusage durch den geprüften Anbieter zu überwachen und sicherzustellen;
„zugelassener Forscher“ eine Forscherin bzw. einen Forscher, die bzw. der nach Artikel 40 Absatz 8 der Verordnung (EU) 2022/2065 mit diesem Status anerkannt wurde;
„Prüfverfahren“ jede Technik, die die Prüfstelle bei der Durchführung der Prüfung anwendet, einschließlich der Erhebung von Daten, der Wahl und Anwendung von Methoden wie Tests und vertiefte Analyseverfahren, sowie alle anderen Maßnahmen, die zur Erhebung und Analyse von Informationen zur Sammlung von Prüfbelegen und zur Formulierung von Prüfungsschlussfolgerungen ergriffen werden, einschließlich der Erstellung einer Stellungnahme oder des Prüfberichts;
„Test“ eine Prüfungsmethode, die aus Messungen, Experimenten oder anderen Kontrollen, darunter Kontrollen algorithmischer Systeme, besteht und durch die die Prüfstelle die Einhaltung der geprüften Pflicht oder Verpflichtung durch den geprüften Anbieter bewertet;
„vertieftes Analyseverfahren“ eine Prüfungsmethode, die von der Prüfstelle verwendet wird, um Informationen zu bewerten, aus denen auf Prüfrisiken oder die Einhaltung der geprüften Pflicht oder Verpflichtungszusage geschlossen werden kann.
Artikel 3
Prüfungsumfang und hinreichendes Maß an Sicherheit
ABSCHNITT II
Bedingungen für die Durchführung der Prüfung
Artikel 4
Auswahl der Prüfstelle
Besteht die auszuwählende Prüfstelle aus mehr als einer juristischen Person oder beabsichtigt sie, einen oder mehrere Unterauftragnehmer in Anspruch zu nehmen, so prüft der geprüfte Anbieter, ob alle diese juristischen Personen oder Unterauftragnehmer
für sich genommen die Anforderungen nach Artikel 37 Absatz 3 Buchstaben a und c der Verordnung (EU) 2022/2065 erfüllen;
gemeinsam die Anforderungen nach Artikel 37 Absatz 3 Buchstabe b der Verordnung (EU) 2022/2065 erfüllen;
Artikel 5
Zusammenarbeit zwischen dem geprüften Anbieter und der Prüfstelle und gegenseitige Unterstützung
Zu einem mit der Prüfstelle vereinbarten Zeitpunkt und in jedem Fall vor Durchführung eines Prüfverfahrens übermittelt der geprüfte Anbieter der ausgewählten Prüfstelle mindestens die folgenden Informationen:
eine Beschreibung der internen Kontrollen, die in Bezug auf jede geprüfte Pflicht und Verpflichtungszusage eingeführt wurden, einschließlich zugehöriger Indikatoren und aller aktuellen und historischen Messungen, sowie Referenzwerte, die der geprüfte Anbieter verwendet hat, um die Einhaltung der geprüften Pflichten und Verpflichtungszusagen zu bestätigen oder zu überwachen, sowie alle Belege;
seine vorläufige Analyse der inhärenten Risiken und Kontrollrisiken, sofern der geprüfte Anbieter eine solche Analyse durchgeführt hat, sowie alle Belege;
Informationen über relevante Entscheidungsstrukturen, Zuständigkeiten der Abteilungen des Anbieters, einschließlich der Compliance-Funktion gemäß Artikel 41 der Verordnung (EU) 2022/2065, relevante IT-Systeme, Datenquellen, -verarbeitung und -speicherung sowie Erläuterungen zu relevanten algorithmischen Systemen und deren Interaktionen.
ABSCHNITT III
Durchführung von Prüfungen
Artikel 6
Prüfbericht und Bericht über die Umsetzung der Prüfergebnisse
Artikel 7
Verfahren für die Vorbereitung der Prüfung
Der geprüfte Anbieter und die Prüfstelle schließen eine schriftliche Vereinbarung, in der Folgendes festgelegt ist:
die erschöpfende Liste der geprüften Pflichten und Verpflichtungszusagen;
die Zuständigkeiten der Prüfstelle, gegebenenfalls einschließlich detaillierter Angaben zu jeder juristischen Person, aus der die Prüfstelle besteht, und der zur Unterzeichnung des Prüfberichts befugten Parteien;
die Verfahren und Kontaktstellen, die der geprüfte Anbieter der Prüfstelle zur Verfügung stellt, um Zugang zu den in Artikel 5 Absatz 2 genannten Daten zu beantragen;
den Zeitrahmen für die Prüfung, einschließlich des Anfangs- und Enddatums der Prüfverfahren und der Fertigstellung des Prüfberichts;
ein Verfahren zur Beilegung von Streitigkeiten zwischen dem geprüften Anbieter und der Prüfstelle, die sich aus der Durchführung der Prüfung ergeben.
Artikel 8
Stellungnahmen, Prüfungsschlussfolgerungen und Empfehlungen
Der Prüfbericht enthält die Prüfungsschlussfolgerungen, die die Prüfstelle hinsichtlich der Einhaltung der einzelnen geprüften Pflichten und Verpflichtungszusagen durch den geprüften Anbieter gezogen hat. Die Prüfungsschlussfolgerungen sind
„positiv“, wenn die Prüfstelle mit einem hinreichenden Maß an Sicherheit zu dem Schluss gelangt, dass der geprüfte Anbieter einer geprüften Pflicht oder Verpflichtungszusage nachgekommen ist;
„positiv mit Anmerkungen“, wenn die Prüfstelle zwar mit einem hinreichenden Maß an Sicherheit zu dem Schluss gelangt, dass der geprüfte Anbieter einer geprüften Pflicht oder Verpflichtungszusage nachgekommen ist,
die Prüfstelle jedoch Anmerkungen zu den Referenzwerten aufnimmt, die der geprüfte Anbieter nach Artikel 5 Absatz 1 Buchstabe a übermittelt hat, oder
die Prüfstelle jedoch Verbesserungen empfiehlt, die sich nicht wesentlich auf ihre Schlussfolgerung auswirken;
„negativ“, wenn die Prüfstelle mit einem hinreichenden Maß an Sicherheit zu dem Schluss gelangt, dass der geprüfte Anbieter einer geprüften Pflicht oder Verpflichtungszusage nicht nachgekommen ist.
Stellungnahmen nach den Absätzen 4 und 5 sind
„positiv“, wenn die Prüfstelle für alle geprüften Pflichten oder Verpflichtungszusagen eine „positive“ Prüfungsschlussfolgerung gezogen hat;
„positiv mit Anmerkungen“, wenn die Prüfstelle für eine geprüfte Pflicht oder Verpflichtungszusage mindestens zu einer Prüfungsschlussfolgerung, die „positiv mit Anmerkungen“ lautet, gelangt ist und für keine der geprüften Pflichten oder Verpflichtungszusagen eine „negative“ Prüfungsschlussfolgerung gezogen hat;
„negativ“, wenn die Prüfstelle für mindestens eine geprüfte Pflicht oder Verpflichtungszusage eine „negative“ Prüfungsschlussfolgerung gezogen hat.
ABSCHNITT IV
Prüfungsmethoden
Artikel 9
Analyse des Prüfrisikos
Die Analyse des Prüfrisikos trägt folgenden Faktoren Rechnung:
inhärente Risiken;
Kontrollrisiken;
Aufdeckungsrisiken.
Bei der Durchführung der Analyse des Prüfrisikos wird Folgendes berücksichtigt:
die Art des geprüften Dienstes und der gesellschaftliche und wirtschaftliche Kontext, in dem der geprüfte Dienst betrieben wird, einschließlich der Wahrscheinlichkeit und Schwere einer Exposition gegenüber Krisensituationen und unerwarteten Ereignissen;
die Art der Pflichten und Verpflichtungszusagen;
sonstige zweckdienliche Informationen, darunter
gegebenenfalls Informationen aus früheren Prüfungen, denen der geprüfte Dienst unterzogen wurde;
gegebenenfalls Informationen aus Berichten des Europäischen Gremiums für digitale Dienste oder von der Kommission nach Artikel 35 Absätze 2 und 3 der Verordnung (EU) 2022/2065 herausgegebenen Leitlinien und anderen einschlägigen Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065;
gegebenenfalls Informationen aus Prüfberichten, die nach Artikel 42 Absatz 4 der Verordnung (EU) 2022/2065 von anderen Anbietern sehr großer Online-Plattformen oder sehr großer Online-Suchmaschinen, die unter ähnlichen Bedingungen betrieben werden oder ähnliche Dienstleistungen wie der geprüfte Dienst erbringen, veröffentlicht wurden.
Artikel 10
Geeignete Prüfungsmethoden
Der Prüfbericht enthält eine Beschreibung der von der Prüfstelle vor der Durchführung von Prüfverfahren entwickelten Prüfungsmethoden, die mindestens Folgendes umfasst:
die auf der Grundlage von Informationen gemäß Artikel 5 Absatz a 1 Buchstabe a festgelegten Prüfkriterien, die zur Bewertung der Einhaltung jeder geprüften Pflicht oder Verpflichtungszusage verwendet werden, sowie die tolerierte und gegebenenfalls qualitativ oder quantitativ formulierte Wesentlichkeitsschwelle;
alle Tests und vertieften Analyseverfahren sowie Prüfbelege, die die Prüfstelle für jede geprüfte Pflicht oder Verpflichtungszusage zu verwenden beabsichtigt, um deren Einhaltung zu bewerten.
Der Prüfbericht enthält eine Beschreibung etwaiger Änderungen der bei der Durchführung der Prüfung verwendeten Methoden im Vergleich zu den Methoden, die vor der Durchführung der Prüfverfahren konzipiert wurden.
Begründete Zweifel nach Absatz 3 liegen insbesondere dann vor, wenn eines der folgenden Elemente gegeben ist:
fachliches Urteil und kritische Grundhaltung bei der Bewertung von Informationen, auch in Bezug auf interne Kontrollen des geprüften Anbieters, die die Prüfstelle dazu veranlassen, begründete Zweifel zu formulieren;
externe Hinweise auf Prüfrisiken, insbesondere Berichte des Europäischen Gremiums für digitale Dienste nach Artikel 35 Absatz 2 der Verordnung (EU) 2022/2065, Leitlinien der Kommission nach Artikel 35 Absatz 3 der genannten Verordnung und sonstige einschlägige Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065 sowie Prüfberichte, die gemäß den in den Artikeln 45, 46 und 48 der genannten Verordnung genannten Verhaltenskodizes oder Krisenprotokollen erstellt werden;
Informationen über Ereignisse, die während der Durchführung der Prüfung eintreten, einschließlich Krisensituationen, die zusätzliche Maßnahmen des geprüften Anbieters erfordern, um die Einhaltung bestimmter geprüfter Pflichten oder Verpflichtungszusagen sicherzustellen.
Die Prüfverfahren umfassen mindestens Folgendes:
die Durchführung von Tests und vertieften Analyseverfahren für die internen Kontrollen, die der geprüfte Anbieter für jede der geprüften Pflichten oder Verpflichtungszusagen eingeführt hat;
die Durchführung vertiefter Analyseverfahren zur Bewertung der Einhaltung jeder geprüften Pflicht und Verpflichtungszusage, auch in Bezug auf algorithmische Systeme;
die Durchführung von Tests, auch in Bezug auf algorithmische Systeme, in Bezug auf die geprüften Pflichten und Verpflichtungszusagen, an denen die Prüfstelle begründete Zweifel im Sinne von Absatz 4 hat, und in Bezug auf geprüfte Pflichten und Verpflichtungen, wenn die Prüfstelle es für erforderlich hält, bei ihrer Wahl der Methode nach Absatz 1 Tests durchzuführen.
Artikel 11
Qualität der Prüfbelege
Die Prüfungsschlussfolgerungen und Stellungnahmen stützen sich auf Prüfbelege, die die beiden folgenden Anforderungen erfüllen:
Sie sind relevant und ausreichend, um die nach Artikel 9 ermittelten Prüfrisiken zu verringern und die Prüfstelle in die Lage zu versetzen, Schlussfolgerungen und Stellungnahmen nach Artikel 8 abzugeben.
Sie sind nach dem fachlichen Urteil und der kritischen Grundhaltung der Prüfstelle verlässlich.
Artikel 12
Stichprobenverfahren
Der Stichprobenumfang und die Methode für die Stichprobenauswahl werden so bestimmt, dass die Repräsentativität der Daten oder Informationen gewährleistet ist und gegebenenfalls alle folgenden Aspekte berücksichtigt werden:
die Repräsentativität der Stichprobe für den in Artikel 3 Absätze 2 und 3 genannten Zeitraum;
relevante Änderungen des geprüften Dienstes während dieses Zeitraums;
relevante Änderungen des Rahmens, in dem der geprüfte Dienst während dieses Zeitraums erbracht wird;
gegebenenfalls relevante Merkmale algorithmischer Systeme, einschließlich Personalisierung auf der Grundlage von Profiling oder sonstigen Kriterien;
sonstige relevante Merkmale oder Untergliederungen der Daten, Informationen und Nachweise, die Gegenstand der Prüfung sind;
gegebenenfalls Darstellung und angemessene Analyse von Bedenken in Bezug auf bestimmte Gruppen wie Minderjährige oder schutzbedürftige Gruppen und Minderheiten, in Bezug auf die geprüfte Pflicht oder Verpflichtungszusage.
Artikel 13
Spezifische Methoden für die Prüfung der Einhaltung des Artikels 34 („Risikobewertung“) der Verordnung (EU) 2022/2065
Die Bewertung der Einhaltung des Artikels 34 der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse aller folgenden Aspekte:
ob der geprüfte Anbieter die in Artikel 34 Absatz 1 Unterabsatz 1 der Verordnung (EU) 2022/2065 genannten systemischen Risiken in der Union sorgfältig ermittelt, analysiert und bewertet hat, indem er unter anderem bewertet,
wie der geprüfte Anbieter die mit seinem Dienst verbundenen Risiken ermittelt hat, wobei er regionalen und sprachlichen — auch für einen Mitgliedstaat spezifischen — Aspekten der Nutzung seines Dienstes Rechnung trägt, und ob die Risiken angemessen ermittelt wurden;
wie der geprüfte Anbieter die einzelnen Risiken analysiert und bewertet hat, einschließlich der Art und Weise, wie er der Wahrscheinlichkeit und der Schwere der Risiken Rechnung getragen hat, und ob die Bewertung angemessen war;
wie der geprüfte Anbieter die in Artikel 34 Absatz 2 Unterabsatz 1 der Verordnung (EU) 2022/2065 genannten Faktoren ermittelt, analysiert und bewertet hat, ob sie angemessen ermittelt wurden und inwieweit diese Faktoren die in Absatz 1 des genannten Artikels ermittelten Risiken beeinflussen;
welche Informationsquellen der geprüfte Anbieter genutzt hat und wie er die Informationen gesammelt hat, wobei auch zu bewerten ist, ob und wie er sich auf wissenschaftliche und technische Erkenntnisse stützte;
ob und wie der geprüfte Anbieter Annahmen zu Risiken bei den am stärksten von den spezifischen Risiken betroffenen Gruppen geprüft hat;
ob die Risikobewertung innerhalb der in Artikel 34 Absatz 1 Unterabsatz 2 der Verordnung (EU) 2022/2065 festgelegten Fristen und gegebenenfalls innerhalb der Fristen für Tätigkeiten durchgeführt wurde, die als Risikominderungsmaßnahmen zur Erkennung systemischer Risiken nach Artikel 35 Absatz 1 Buchstabe f der genannten Verordnung festgelegt wurden;
wie der geprüfte Anbieter Funktionen ermittelt hat, die wahrscheinlich kritische Auswirkungen auf die Risiken haben, für die Risikobewertungen nach Artikel 34 Absatz 1 Unterabsatz 2 der Verordnung (EU) 2022/2065 vor ihrer Einführung durchgeführt werden sollen, ob diese Funktionen korrekt ermittelt wurden und ob die Risikobewertung angemessen durchgeführt wurde;
ob der geprüfte Anbieter die Belege, die in Bezug auf die Risikobewertung aufbewahrt werden sollten, korrekt ermittelt hat und ob er die notwendigen Mittel vorgesehen hat, um sicherzustellen, dass diese Dokumente nach Artikel 34 Absatz 3 der Verordnung (EU) 2022/2065 mindestens drei Jahre aufbewahrt werden, und ob die Dokumente entsprechend aufbewahrt wurden.
Unbeschadet anderer Analysen, die erforderlich sind, um ein hinreichendes Maß an Sicherheit zu erreichen, umfassen die Methoden für die Prüfung der Einhaltung von Artikel 34 der Verordnung (EU) 2022/2065 mindestens eine Bewertung der folgenden Elemente durch die Prüfstelle:
der internen Kontrollen, die der geprüfte Anbieter eingeführt hat, um die Durchführung der Risikobewertungen in Bezug auf jeden der in Artikel 34 Absatz 2 Unterabsatz 1 der Verordnung (EU) 2022/2065 genannten Faktoren zu überwachen; eine entsprechende Bewertung
beruht für diese internen Kontrollen auf vertieften Analyseverfahren;
beruht auf Tests, bei denen ermittelt wird, ob diese internen Kontrollen verlässlich sind und sorgfältig konzipiert, durchgeführt und überwacht werden;
dient der Einschätzung, wie die Compliance-Beauftragten ihre Aufgaben nach Artikel 41 Absatz 3 Buchstaben b, d, e und ggf. f der Verordnung (EU) 2022/2065 durchgeführt haben und wie das Leitungsorgan des geprüften Anbieters an den Entscheidungen im Zusammenhang mit dem Risikomanagement nach Artikel 41 Absätze 6 und 7 der genannten Verordnung beteiligt war;
der Maßnahmen, Mittel und Verfahren, die der geprüfte Anbieter eingeführt hat, um die Einhaltung von Artikel 34 der Verordnung (EU) 2022/2065 und deren Ergebnisse sicherzustellen; diese Bewertung stützt sich auf
vertiefte Analyseverfahren;
Tests, einschließlich algorithmischer Systeme, wenn die Prüfstelle aufgrund der Ergebnisse der vertieften Analyseverfahren und der Bewertung der internen Kontrollen begründete Zweifel hat, oder wenn die Prüfstelle es für erforderlich hält, Tests bei ihrer Wahl der Methode nach Artikel 10 Absatz 1 durchzuführen.
Die von der Prüfstelle zur Untermauerung der gemäß diesem Artikel durchgeführten Bewertung analysierten Informationen umfassen unter anderem
den vom geprüften Anbieter erstellten Risikobewertungsbericht für den betreffenden geprüften Zeitraum, der erforderlichenfalls vertrauliche Informationen enthält, die nicht zu den nach Artikel 42 Absatz 2 der genannten Verordnung veröffentlichten Informationen gehören, sowie alle Belege;
gegebenenfalls sonstige Risikobewertungsberichte des geprüften Anbieters und Belege dazu;
vom geprüften Anbieter nach Artikel 5 übermittelte Informationen;
alle einschlägigen Transparenzberichte des geprüften Anbieters nach Artikel 15 Absatz 1 der Verordnung (EU) 2022/2065;
sonstige Testergebnisse, Unterlagen, Belege, Erklärungen, die in Beantwortung schriftlicher oder mündlicher Fragen der Prüfstelle an das Personal des geprüften Anbieters abgegeben wurden, sowie gegebenenfalls vor Ort vorgebrachte Bemerkungen;
sonstige einschlägige Belege, auch auf der Grundlage von Informationen, die vom geprüften Anbieter bereitgestellt wurden;
sofern verfügbar, Berichte nach Artikel 35 Absatz 2 der Verordnung (EU) 2022/2065 und Orientierungshilfen der Kommission, einschließlich Leitlinien nach Artikel 35 Absatz 3 der Verordnung erstellte Leitlinien sowie andere einschlägige Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065.
Artikel 14
Spezifische Methoden für die Prüfung der Einhaltung des Artikels 35 („Risikominderung“) der Verordnung (EU) 2022/2065
Die Bewertung der Einhaltung des Artikels 35 der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse aller folgenden Aspekte:
wie der geprüfte Anbieter Risikominderungsmaßnahmen für jedes der in Artikel 34 Absatz 1 der Verordnung (EU) 2022/2065 genannten systemischen Risiken ermittelt hat und ob bei der Ermittlung dieser Risikominderungsmaßnahmen sorgfältig vorgegangen wurde;
wie der geprüfte Anbieter bewertet hat, ob die Risikominderungsmaßnahmen nach Artikel 35 Absatz 1 Buchstaben a bis k der Verordnung (EU) 2022/2065 auf den geprüften Dienst anwendbar waren und ob die Schlussfolgerung dieser Bewertung angemessen war, auch in Bezug auf die Maßnahmen, die der geprüfte Anbieter nicht ergriffen hat;
ob die vom geprüften Anbieter eingeführten Risikominderungsmaßnahmen angemessen, verhältnismäßig und wirksam sind, um die betreffenden Risiken zu mindern, unter anderem indem
bewertet wird, ob damit gemeinsam auf alle Risiken reagiert wird, unter besonderer Berücksichtigung der Risiken im Zusammenhang mit der Ausübung der Grundrechte,
vergleichend bewertet wird, wie den Risiken vor und nach der Einführung der spezifischen Risikominderungsmaßnahmen begegnet wurde,
bewertet wird, ob die Risikominderungsmaßnahmen angemessen konzipiert und durchgeführt wurden.
Unbeschadet anderer Analysen, die erforderlich sind, um ein hinreichendes Maß an Sicherheit zu erreichen, umfassen die Methoden für die Prüfung der Einhaltung von Artikel 35 der Verordnung (EU) 2022/2065 mindestens eine Bewertung der folgenden Elemente durch die Prüfstelle:
der internen Kontrollen, die der geprüfte Anbieter eingeführt hat, um die Anwendung der Risikominderungsmaßnahmen nach Artikel 35 Absatz 1 der Verordnung (EU) 2022/2065 zu überwachen, wobei zu prüfen ist, ob diese angemessen, verhältnismäßig und wirksam sind; eine entsprechende Bewertung
beruht für diese internen Kontrollen auf vertieften Analyseverfahren;
beruht auf Tests, bei denen ermittelt wird, ob diese internen Kontrollen verlässlich sind und sorgfältig konzipiert, durchgeführt und überwacht werden;
dient der Einschätzung, wie die Compliance-Beauftragten ihre Aufgaben nach Artikel 41 Absatz 3 Buchstaben b, d, e und ggf. f der Verordnung (EU) 2022/2065 durchgeführt haben und wie das Leitungsorgan des Anbieters nach Artikel 41 Absätze 6 und 7 der genannten Verordnung beteiligt war;
der von den geprüften Anbietern eingeführten Risikominderungsmaßnahmen; diese Bewertung stützt sich auf
vertiefte Analyseverfahren;
Tests, einschließlich algorithmischer Systeme, wenn die Prüfstelle aufgrund der Ergebnisse der vertieften Analyseverfahren und der Bewertung der internen Kontrollen begründete Zweifel hat oder wenn sie es für erforderlich hält, Tests bei ihrer Wahl der Methode nach Artikel 10 Absatz 1 durchzuführen.
Die von der Prüfstelle zur Untermauerung der gemäß diesem Artikel durchgeführten Bewertung analysierten Informationen umfassen unter anderem
die vom geprüften Anbieter erstellten Risikobewertungs- und Risikominderungsberichte für den betreffenden geprüften Zeitraum, die erforderlichenfalls vertrauliche Informationen enthalten, die nicht zu den nach Artikel 42 Absatz 2 der Verordnung (EU) 2022/2065 veröffentlichten Informationen gehören, sowie alle Belege;
gegebenenfalls sonstige Risikobewertungs- und Risikominderungsberichte des geprüften Anbieters und Belege dazu;
vom geprüften Anbieter nach Artikel 5 übermittelte Informationen;
alle einschlägigen Transparenzberichte des geprüften Anbieters nach Artikel 15 Absatz 1 der Verordnung (EU) 2022/2065;
gegebenenfalls frühere Risikominderungsberichte und die zugehörigen Belege, die Zeiträume betreffen, die nicht in den geprüften Zeitraum fallen, und die erforderlichenfalls vertrauliche Informationen enthalten, die nicht zu den nach Artikel 42 Absatz 2 der Verordnung (EU) 2022/2065 veröffentlichten Informationen gehören;
sonstige Testergebnisse, Unterlagen, Belege, Erklärungen, die in Beantwortung schriftlicher bzw. mündlicher Fragen der Prüfstelle an das Personal des geprüften Anbieters abgegeben wurden, sowie gegebenenfalls vor Ort vorgebrachte Bemerkungen;
sonstige einschlägige Belege, auch auf der Grundlage von Informationen, die vom geprüften Anbieter bereitgestellt wurden;
sofern verfügbar, Berichte nach Artikel 35 Absatz 2 der Verordnung (EU) 2022/2065 und Orientierungshilfen der Kommission, einschließlich Leitlinien nach Artikel 35 Absatz 3 der Verordnung erstellte Leitlinien sowie andere einschlägige Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065.
Artikel 15
Spezifische Methoden für die Prüfung der Einhaltung des Artikels 36 („Krisenreaktionsmechanismus“) der Verordnung (EU) 2022/2065
Die Bewertung der Einhaltung des Artikels 36 Absatz 1 Unterabsatz 1 Buchstabe a der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse, ob und wie der geprüfte Anbieter die erforderlichen Maßnahmen durchgeführt hat, insbesondere
ob und wie der geprüfte Anbieter die einschlägigen Systeme ermittelt hat, die an dem Betrieb und der Nutzung seines Dienstes beteiligt sind und erheblich zu der schwerwiegenden Bedrohung beitragen, und ob diese Systeme angemessen ermittelt wurden;
ob und wie der geprüfte Anbieter den erheblichen Beitrag zur schwerwiegenden Bedrohung definiert und überwacht hat und ob seine Bewertung angemessen war;
jedes sonstige Erfordernis, das in dem in Artikel 36 Absatz 1 bzw. Absatz 7 Unterabsatz 2 der Verordnung (EU) 2022/2065 genannten Beschluss der Kommission festgelegt ist.
Die Bewertung der Einhaltung von Artikel 36 Absatz 1 Unterabsatz 1 Buchstabe b der Verordnung (EU) 2022/2065 durch den geprüften Anbieter umfasst unter anderem eine Analyse, ob und wie der geprüfte Anbieter die erforderlichen Maßnahmen durchgeführt hat, insbesondere
ob und wie der geprüfte Anbieter Maßnahmen ermittelt hat, um einen Beitrag zu der schwerwiegenden Bedrohung zu verhindern, zu beseitigen oder zu begrenzen;
ob und wie mit den vom geprüften Anbieter ergriffenen Maßnahmen der Schwere der schwerwiegenden Bedrohung und der Dringlichkeit begegnet wurde und ob die Maßnahmen in dieser Hinsicht angemessen waren;
ob und wie der geprüfte Anbieter die von den Maßnahmen betroffenen Parteien und ihre berechtigten Interessen ermittelt hat und wie der geprüfte Anbieter die tatsächlichen oder potenziellen Auswirkungen der Maßnahmen auf die Rechte dieser Parteien, einschließlich der Grundrechte, und ihre berechtigten Interessen bewertet hat;
ob die von dem geprüften Anbieter ergriffenen Maßnahmen wirksam und verhältnismäßig waren;
jedes sonstige Erfordernis, das in dem in Artikel 36 Absatz 1 bzw. Absatz 7 Unterabsatz 2 der Verordnung (EU) 2022/2065 genannten Beschluss der Kommission festgelegt ist.
Artikel 16
Prüfung der Einhaltung des Artikels 37 („Unabhängige Prüfung“) der Verordnung (EU) 2022/2065
Artikel 17
Prüfung der Einhaltung von Verhaltenskodizes und Krisenprotokollen
Der geprüfte Anbieter stellt der Prüfstelle Folgendes zur Verfügung:
eine Liste und den Wortlaut aller Verhaltenskodizes nach den Artikeln 45 und 46 der Verordnung (EU) 2022/2065 und der Krisenprotokolle nach Artikel 48 der genannten Verordnung, die der geprüfte Anbieter unterzeichnet hat;
eine detaillierte Liste der Verpflichtungszusagen, die der geprüfte Anbieter in diesen Verhaltenskodizes und Krisenprotokollen gemacht hat;
gegebenenfalls die wesentlichen Leistungsindikatoren, die im Rahmen der einzelnen Verhaltenskodizes und Krisenprotokolle vereinbart wurden;
gegebenenfalls verfügbare Messungen, Daten und Unterlagen sowie vom geprüften Anbieter erstellte Berichte über die Einhaltung der gemachten Verpflichtungszusagen durch den geprüften Anbieter, einschließlich des Zugangs zu allen einschlägigen Informationen und Daten im Zusammenhang mit dem Betrieb der vom geprüften Anbieter angebotenen Dienste, die für die Umsetzung des Verhaltenskodex oder des Krisenprotokolls von Belang sind;
gegebenenfalls sonstige von den Unterzeichnern des Verhaltenskodex oder des Krisenprotokolls erstellte Messungen, Daten und Unterlagen sowie die Bewertungen durch die Kommission oder das Gremium nach Artikel 45 Absatz 4 der Verordnung (EU) 2022/2065.
ABSCHNITT V
Schlussbestimmungen
Artikel 18
Inkrafttreten
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.
ANHANG I
VORLAGE FÜR DEN PRÜFBERICHT NACH ARTIKEL 6
Inhaltsverzeichnis
|
ABSCHNITT B: Prüfstelle(n) Bitte für die einzelnen Punkte dieses Abschnitts so viele Zeilen wie nötig einfügen. |
|
1. Name(n) der Organisation(en), aus der bzw. denen die Prüfstelle besteht: … 2. Angaben zum Prüfteam der Prüfstelle: Geben Sie für jedes Mitglied des Prüfteams Folgendes an: 1. Personenname 2. Organisation, der sie angehören und die Teil der Prüfstelle ist 3. berufliche E-Mail-Adresse 4. Beschreibung der Zuständigkeiten und Tätigkeiten im Rahmen der Prüfung … 3. Qualifikationen der Prüfer: … a. Übersicht über die beruflichen Qualifikationen der Personen, die die Prüfung durchgeführt haben, ggf. einschließlich Fachgebieten und Bescheinigungen: … b. Unterlagen, aus denen hervorgeht, dass die Prüfstelle die Anforderungen nach Artikel 37 Absatz 3 Buchstabe b der Verordnung (EU) 2022/2065 erfüllt, sind diesem Bericht als Anhang beigefügt: … 4. Unabhängigkeit der Prüfer: a. Interessenerklärung: … b. Verweise auf etwaige Normen, die für die Unabhängigkeit des Prüfteams relevant sind und von der bzw. den Prüfstelle(n) befolgt werden: … c. Liste der diesem Bericht als Anhang beigefügten Unterlagen, aus denen hervorgeht, dass die Prüfstelle die Pflichten nach Artikel 37 Absatz 3 Buchstaben a und c der Verordnung (EU) 2022/2065 einhält: … 5. Ggf. Verweise auf bei der Prüfung angewandte Prüfungsnormen: … 6. Ggf. Verweise auf von der Prüfstelle befolgte Qualitätsmanagementnormen: … |
|
ABSCHNITT F.1: Konsultierte Dritte Wiederholen Sie diesen Abschnitt bitte für jeden konsultierten Dritten, wobei die Unterabschnitte entsprechend zu nummerieren sind (z. B. F.1, F.2 usw.). |
|
1. Name des konsultierten Dritten: … 2. Vertreter und Kontaktdaten des konsultierten Dritten: … 3. Datum/Daten der Konsultation: … 4. Beiträge Dritter … |
|
ABSCHNITT G: Sonstige Informationen, die die Prüfstelle in den Prüfbericht aufnehmen möchte (z. B. um mögliche inhärente Einschränkungen zu beschreiben). |
|
|
|
|
Bitte so viele Zeilen einfügen, wie nötig, entsprechend den Zuständigkeiten und Befugnissen gemäß Artikel 7 Absatz 1 Buchstabe b. |
|
Datum: … |
Unterzeichnet von: … |
|
Ort: … |
Im Namen von: … |
|
|
Zuständig für: … |
Anhänge zum Prüfbericht (falls zutreffend):
Gemäß Artikel 7 Absatz 2 der vorliegenden Verordnung erforderliche Unterlagen
Unterlagen zur Analyse des Prüfungsrisikos nach Artikel 9 der vorliegenden Verordnung
Unterlagen, aus denen hervorgeht, dass die Prüfstelle die Pflichten nach Artikel 37 Absatz 3 Buchstabe a der Verordnung (EU) 2022/2065 einhält
Unterlagen, aus denen hervorgeht, dass die Prüfstelle die Pflichten nach Artikel 37 Absatz 3 Buchstabe b der Verordnung (EU) 2022/2065 einhält
Unterlagen, aus denen hervorgeht, dass die Prüfstelle die Pflichten nach Artikel 37 Absatz 3 Buchstabe c der Verordnung (EU) 2022/2065 einhält
Dokumentation und Ergebnisse etwaiger von der Prüfstelle durchgeführter Tests, auch in Bezug auf algorithmische Systeme des geprüften Anbieters
Verhaltenskodizes nach den Artikeln 45 und 46 der Verordnung (EU) 2022/2065, in deren Rahmen der geprüfte Anbieter Verpflichtungszusagen gemacht hat, einschließlich einer klaren Angabe aller Verpflichtungszusagen und aller für diese Verpflichtungszusagen vereinbarten wesentlichen Leistungsindikatoren
Krisenprotokolle gemäß Artikel 48 der Verordnung (EU) 2022/2065, die vom geprüften Anbieter umgesetzt werden
Andere Anhänge auf Wunsch der Prüfstelle
ANHANG II
VORLAGE FÜR DEN BERICHT ÜBER DIE UMSETZUNG DER PRÜFERGEBNISSE NACH ARTIKEL 6
Inhaltsverzeichnis
|
ABSCHNITT A: Allgemeine Angaben |
|
1. Geprüfter Anbieter: … 2. Anschrift des geprüften Anbieters: … 3. Prüfbericht, der Grundlage dieses Umsetzungsberichts ist Datum der Annahme des Prüfberichts: … Verweis auf den Prüfbericht (z. B. eine URL): … 4. Angaben zur zugrunde liegenden Prüfung und zu den beteiligten Parteien (siehe Abschnitte A und B des betreffenden Prüfberichts): … 5. Bezieht sich der Bericht über die Umsetzung der Prüfergebnisse auf einen Prüfbericht über die Einhaltung aller in Artikel 37 Absatz 1 der Verordnung (EU) 2022/2065 genannten Pflichten und Verpflichtungszusagen, die für den geprüften Anbieter gelten? ja/nein (falls nein, bitte angeben, welche Pflichten und Verpflichtungszusagen Gegenstand des betreffenden Prüfberichts sind) … 6. Gegebenenfalls Verweise auf andere Prüfberichte zu Prüfungen gemäß Artikel 37 der Verordnung (EU) 2022/2065, die den geprüften Dienstleister im geprüften Zeitraum betreffen: … |
|
|
