Leitlinie (EU) 2016/256 der Europäischen Zentralbank vom 5. Februar 2016 über die Erweiterung einheitlicher Regeln und Mindestanforderungen zum Schutz der Vertraulichkeit statistischer Daten, die von der Europäischen Zentralbank mit Unterstützung der nationalen Zentralbanken erhoben werden, auf die nationalen zuständigen Behörden der teilnehmenden Mitgliedstaaten und auf die Europäische Zentralbank in ihrer Aufsichtsfunktion (EZB/2016/1)

Im Sinne dieser Leitlinie sind die nachfolgend aufgeführten Begriffe wie folgt zu verstehen: 1. „vertrauliche statistische Daten“: statistische Daten, die gemäß Artikel 1 Absatz 12 der Verordnung (EG) Nr. 2533/98 als vertraulich eingestuft sind und in Übereinstimmung mit den Bestimmungen und für die Zwecke, wie in der Verordnung aufgeführt, erhoben wurden; 2. „Schutzmaßnahmen“: geeignete Maßnahmen zum physischen und logischen Schutz der vertraulichen statistischen Daten; 3. „logische Schutzmaßnahmen“: Maßnahmen, die den unberechtigten Zugang zu den vertraulichen statistischen Daten selbst verhindern; 4. „physische Schutzmaßnahmen“: Maßnahmen, die den unberechtigten Zugang zu einem physischen Gebiet und zu physischen Medien verhindern; 5. „physisches Gebiet“: jeder Teil eines Gebäudes, in dem sich die physischen Medien befinden, auf denen vertrauliche statistische Daten gespeichert sind oder über die sie übermittelt werden; 6. „physische Medien“: Hartkopien (Papierfassungen) und Datenverarbeitungsausrüstungen (einschließlich Peripherie- und Speichergeräte), auf denen vertrauliche statistische Daten gespeichert oder verarbeitet werden; 7. „national zuständige Behörde“ hat dieselbe Bedeutung wie in Artikel 2 Absatz 2 der Verordnung (EU) Nr. 1024/2013; 8. „Berichtspflichtige“ hat dieselbe Bedeutung wie in Artikel 1 Absatz 2 der Verordnung (EG) Nr. 2533/98.

1 Die EZB und die nationalen zuständigen Behörden legen jeweils Berechtigungsregelungen und logische Schutzmaßnahmen für den Zugang ihrer Mitarbeiter zu vertraulichen statistischen Daten fest und setzen diese um.

2 Unbeschadet der Kontinuität der Systemverwaltungsfunktion wird als Mindestschutzmaßnahme eine einzige Benutzeridentifikation mit persönlichem Kennwort vorgesehen.

3 Es werden alle geeigneten Maßnahmen getroffen, um sicherzustellen, dass vertrauliche statistische Daten so dargestellt werden, dass veröffentlichte Daten mindestens drei Wirtschaftssubjekte betreffen. Für den Fall, dass ein oder zwei Wirtschaftssubjekt(e) einen ausreichend großen Anteil darstellen, um sie indirekt identifizieren zu können, werden veröffentlichte Daten so dargestellt, dass ihre indirekte Identifikation verhindert wird. Diese Bestimmungen gelten nicht, wenn die Berichtspflichtigen oder die anderen juristischen bzw. natürlichen Personen, Rechtssubjekte oder Niederlassungen, die identifiziert werden könnten, ausdrücklich ihre Zustimmung zur Offenlegung gegeben haben.

Unbeschadet des Artikels 4 dieser Leitlinie legen die EZB und die nationalen zuständigen Behörden jeweils Berechtigungsregelungen und physische Schutzmaßnahmen für den Zugang ihrer Mitarbeiter zu jedem physischen Gebiet fest und setzen diese um.

In dem Fall, dass Dritte Zugang zu vertraulichen statistischen Daten gemäß Artikel 8 Absatz 4 Buchstabe a von Verordnung (EG) Nr. 2533/98 haben, stellen die EZB und die nationalen zuständigen Behörden durch geeignete Maßnahmen, möglichst durch einen Vertrag, sicher, dass die Vertraulichkeitsanforderungen der Verordnung (EG) Nr. 2533/98 und dieser Leitlinie von den Dritten eingehalten werden.

1 Sofern Artikel 8 der Verordnung (EG) Nr. 2533/98 dies gestattet, erfolgt die Übermittlung von vertraulichen statistischen Daten extra muros elektronisch nach Verschlüsselung.

2 Die EZB und die nationalen zuständigen Behörden legen für eine solche Übermittlung vertraulicher statistischer Daten jeweils Berechtigungsregelungen fest.

3 Für interne Netze werden geeignete Schutzmaßnahmen zur Verhinderung von unberechtigtem Zugang getroffen.

4 Interaktiver Zugang von ungesicherten Netzen zu vertraulichen statistischen Daten ist untersagt.

Die EZB und die nationalen zuständigen Behörden stellen sicher, dass alle ihre Regelungen und Verfahren im Zusammenhang mit dem Schutz vertraulicher statistischer Daten dokumentiert sind und diese Dokumentation auf aktuellem Stand gehalten wird. Die betroffenen Mitarbeiter werden über die Bedeutung des Schutzes von vertraulichen statistischen Daten unterrichtet und über alle ihre Arbeit betreffenden Regelungen und Verfahren auf dem Laufenden gehalten.

1 Die nationalen zuständigen Behörden unterrichten die EZB mindestens einmal im Jahr über die Schwierigkeiten im jeweils vergangenen Berichtszeitraum, über die zur Abhilfe getroffenen Maßnahmen und die geplanten Verbesserungen im Hinblick auf den Schutz von vertraulichen statistischen Daten. Die EZB erstellt mindestens einmal im Jahr einen entsprechenden Bericht.

2 Der EZB-Rat unterzieht die Umsetzung dieser Leitlinie mindestens einmal im Jahr einer Bewertung. Zur Vorbereitung dieser Bewertung wird die EZB über die Berechtigungsregelungen und die Art der Schutzmaßnahmen, die von der EZB und den nationalen zuständigen Behörden gemäß Artikel 2, 3 und 5 dieser Leitlinie angewendet werden, unterrichtet und es wird ihr ein Bericht darüber vorgelegt. Die EZB berichtet dem EZB-Rat über die Anwendung dieser Regelungen und Schutzmaßnahmen durch die nationalen zuständigen Behörden und die EZB.

1 Diese Leitlinie wird ab dem zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union wirksam.

2 Die nationalen zuständigen Behörden und die EZB stellen sicher, dass die Bestimmungen dieser Leitlinie auch für die Mitglieder ihrer Entscheidungsgremien gelten.

3 Die EZB und die nationalen zuständigen Behörden arbeiten darauf hin, soweit rechtlich möglich, die festgelegten Verpflichtungen bei der Umsetzung der Bestimmungen dieser Leitlinie auf Personen, die an der Ausführung der Aufgaben auf dem Gebiet der Aufsicht beteiligt und keine Mitarbeiter sind, auszuweiten.

Diese Leitlinie richtet sich an die nationalen zuständigen Behörden und die EZB im Rahmen der Ausführung ihrer Aufgaben gemäß der Verordnung (EU) Nr. 1024/2013, soweit diese jeweils vertrauliche statistische Daten vom ESZB erhalten.