Delegierte Verordnung (EU) 2024/1772 der Kommission vom 13. März 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, der Wesentlichkeitsschwellen und der Einzelheiten von Meldungen schwerwiegender Vorfälle

1 Die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Anzahl der von dem Vorfall betroffenen Kunden spiegelt die Anzahl aller betroffenen Kunden unabhängig davon, ob es sich um natürliche oder juristische Personen handelt, wider, die den vom Finanzunternehmen bereitgestellten Dienst während des Vorfalls nicht nutzen können bzw. konnten oder die durch den Vorfall beeinträchtigt wurden. Diese Anzahl umfasst auch Dritte, die als Nutznießer der betroffenen Dienste ausdrücklich unter die vertragliche Vereinbarung zwischen dem Finanzunternehmen und dem Kunden fallen.

2 Die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Anzahl der von dem Vorfall betroffenen finanziellen Gegenparteien spiegelt die Anzahl aller betroffenen finanziellen Gegenparteien wider, die eine vertragliche Vereinbarung mit dem Finanzunternehmen geschlossen haben.

3 In Bezug auf die in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannte Relevanz der von dem Vorfall betroffenen Kunden und finanziellen Gegenparteien berücksichtigt das Finanzunternehmen, in welchem Maße sich die Auswirkungen auf einen Kunden oder eine finanzielle Gegenpartei auf die Verwirklichung der Geschäftsziele des Finanzunternehmens auswirken werden und wie sich der Vorfall auf die Markteffizienz auswirken könnte.

4 In Bezug auf den Wert oder die Anzahl der von dem Vorfall betroffenen Transaktionen im Sinne von Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 berücksichtigt das Finanzunternehmen alle betroffenen Transaktionen über einen Geldbetrag, sofern mindestens ein Teil der Transaktion in der Union durchgeführt wird.

5 Lässt sich die tatsächliche Anzahl der betroffenen Kunden oder finanziellen Gegenparteien oder die tatsächliche Anzahl oder der tatsächliche Wert der betroffenen Transaktionen nicht bestimmen, so schätzt das Finanzunternehmen diese Zahlen oder Werte auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen.

1 Zur Bestimmung des in Artikel 18 Absatz 1 Buchstabe a der Verordnung (EU) 2022/2554 genannten Reputationsschadens betrachten die Finanzunternehmen einen Reputationsschaden als eingetreten, wenn mindestens eines der folgenden Kriterien erfüllt ist: a) über den Vorfall wurde in den Medien berichtet; b) der Vorfall hat zu wiederholten Beschwerden verschiedener Kunden oder finanzieller Gegenparteien über kundenorientierte Dienstleistungen oder kritische Geschäftsbeziehungen geführt; c) das Finanzunternehmen wird aufgrund des Vorfalls nicht oder wahrscheinlich nicht in der Lage sein, regulatorische Anforderungen zu erfüllen; d) das Finanzunternehmen wird infolge des Vorfalls Kunden oder finanzielle Gegenparteien verlieren oder wahrscheinlich verlieren, was wesentliche Auswirkungen auf seine Geschäftstätigkeit haben wird.

2 Bei der Bewertung der Reputationswirkung des Vorfalls berücksichtigen die Finanzunternehmen die Sichtbarkeit, die der Vorfall in Bezug auf jedes in Absatz 1 aufgeführte Kriterium erlangt hat oder wahrscheinlich erlangen wird.

1 Die Finanzunternehmen messen die in Artikel 18 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554 genannte Dauer eines Vorfalls ab dem Zeitpunkt des Eintritts des Vorfalls bis zum Zeitpunkt der Behebung des Vorfalls. Können die Finanzunternehmen den Eintrittszeitpunkt des Vorfalls nicht bestimmen, messen sie die Dauer des Vorfalls ab dem Zeitpunkt seiner Feststellung. Wissen Finanzunternehmen schon um den Vorfall, bevor er festgestellt wurde, messen sie die Dauer ab dem Zeitpunkt, zu dem der Vorfall in den Netzwerk- oder Systemprotokollen oder anderen Datenquellen aufgezeichnet wurde. Wissen Finanzunternehmen noch nicht, wann der Vorfall behoben sein wird, oder können sie Aufzeichnungen in Protokollen oder anderen Datenquellen nicht verifizieren, so ziehen sie Schätzungen heran.

2 Finanzunternehmen messen die in Artikel 18 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554 genannten Ausfallzeiten bei einem Vorfall ab dem Zeitpunkt, zu dem der Dienst für Kunden, finanzielle Gegenparteien oder andere interne oder externe Nutzer ganz oder teilweise nicht mehr verfügbar ist, bis zu dem Zeitpunkt, zu dem die regulären Tätigkeiten oder Vorgänge in dem vor dem Vorfall herrschenden Umfang wiederhergestellt sind. Führen die Ausfallzeiten nach der Wiederherstellung der regulären Tätigkeiten oder Vorgänge zu einer Verzögerung bei der Bereitstellung von Dienstleistungen, so werden die Ausfallzeiten vom Beginn des Vorfalls bis zu dem Zeitpunkt gemessen, zu dem die verzögerte Dienstleistung in vollem Umfang erbracht ist. Können die Finanzunternehmen den Beginn der Ausfallzeiten nicht bestimmen, messen sie die Dauer der Ausfallzeiten ab dem Zeitpunkt ihrer Feststellung.

Um die in Artikel 18 Absatz 1 Buchstabe c der Verordnung (EU) 2022/2554 genannte geografische Ausbreitung im Hinblick auf die von dem Vorfall betroffenen Gebiete zu bestimmen, bewerten Finanzunternehmen, ob der Vorfall Auswirkungen in anderen Mitgliedstaaten hat oder hatte, und insbesondere, wie erheblich die Auswirkungen in Bezug auf eines von Folgendem sind: a) Kunden und finanzielle Gegenparteien in anderen Mitgliedstaaten; b) Zweigniederlassungen oder andere Finanzunternehmen innerhalb der Gruppe, die in anderen Mitgliedstaaten tätig sind; c) Finanzmarktinfrastrukturen oder Drittdienstleister mit möglichen Auswirkungen auf Finanzunternehmen in anderen Mitgliedstaaten, für die sie Dienstleistungen erbringen, soweit diese Informationen verfügbar sind.

Um die in Artikel 18 Absatz 1 Buchstabe d der Verordnung (EU) 2022/2554 genannten Verluste von Daten, die durch den Vorfall verursacht werden, zu bestimmen, berücksichtigen die Finanzunternehmen Folgendes: a) in Bezug auf die Verfügbarkeit von Daten, ob der Vorfall die vom Finanzunternehmen, seinen Kunden oder seinen Gegenparteien nachgefragten Daten vorübergehend oder dauerhaft unzugänglich oder unbrauchbar gemacht hat; b) in Bezug auf die Authentizität der Daten, ob der Vorfall die Vertrauenswürdigkeit der Datenquelle kompromittiert hat; c) in Bezug auf die Integrität der Daten, ob der Vorfall zu einer nicht autorisierten Veränderung der Daten geführt hat, wodurch diese unrichtig oder unvollständig geworden sind; d) in Bezug auf die Vertraulichkeit der Daten, ob der Vorfall dazu geführt hat, dass eine unbefugte Partei oder ein unbefugtes System Zugang zu oder Kenntnis von den Daten erhalten hat.

Um die in Artikel 18 Absatz 1 Buchstabe e der Verordnung (EU) 2022/2554 genannte Kritikalität der betroffenen Dienste zu bestimmen, bewerten die Finanzunternehmen, ob der Vorfall a) IKT-Dienste oder Netzwerk- und Informationssysteme zur Unterstützung kritischer oder wichtiger Funktionen des Finanzunternehmens beeinträchtigt oder beeinträchtigt hat; b) von dem Finanzunternehmen erbrachte Finanzdienstleistungen beeinträchtigt oder beeinträchtigt hat, die einer Zulassung oder Registrierung bedürfen oder von den zuständigen Behörden beaufsichtigt werden; c) einen erfolgreichen, böswilligen und unbefugten Zugriff auf die Netzwerk- und Informationssysteme des Finanzunternehmens darstellt oder dargestellt hat.

1 Zur Bestimmung der in Artikel 18 Absatz 1 Buchstabe f der Verordnung (EU) 2022/2554 genannten wirtschaftlichen Auswirkungen des Vorfalls berücksichtigen die Finanzunternehmen, ohne Einrechnung von finanziellen Wiedereinziehungen, die folgenden Arten von direkten und indirekten Kosten und Verlusten, die ihnen infolge des Vorfalls entstanden sind: a) enteignete Mittel oder finanzielle Vermögenswerte, für die sie haften, einschließlich gestohlener Vermögenswerte; b) Kosten für die Ersetzung oder Verlegung von Software, Hardware oder Infrastruktur; c) Personalkosten, einschließlich Kosten im Zusammenhang mit der Ersetzung oder Verlegung von Personal, der Einstellung zusätzlichen Personals, der Vergütung von Überstunden und der Wiederherstellung verloren gegangener oder beeinträchtigter Kompetenzen; d) Gebühren wegen Nichteinhaltung vertraglicher Verpflichtungen; e) Kosten für Ausgleichs- und Entschädigungszahlungen an Kunden; f) Verluste wegen entgangener Einnahmen; g) Kosten für die interne und externe Kommunikation; h) Beratungskosten, einschließlich Kosten für Rechtsberatung, forensische Dienstleistungen und Behebungsdienstleistungen.

2 Die in Absatz 1 genannten Kosten und Verluste schließen keine Kosten ein, die für den alltäglichen Geschäftsbetrieb notwendig sind, insbesondere a) keine Kosten für die allgemeine Instandhaltung von Infrastruktur, Ausrüstung, Hardware und Software und keine Kosten für die laufende Fortbildung des Personals, um dessen Kompetenzen auf Stand zu halten; b) keine internen oder externen Kosten für die Verstärkung des Geschäftsbetriebs nach dem Vorfall, insbesondere auch keine Kosten für Upgrades, Verbesserungen und Initiativen zur Risikobewertung; c) keine Versicherungsprämien.

3 Die Finanzunternehmen berechnen die Höhe der Kosten und Verluste auf der Grundlage der zum Meldezeitpunkt verfügbaren Daten. Kann die tatsächliche Höhe der Kosten und Verluste nicht bestimmt werden, so schätzen die Finanzunternehmen die entsprechenden Beträge.

4 Bei der Bewertung der wirtschaftlichen Auswirkungen des Vorfalls summieren die Finanzunternehmen die in Absatz 1 genannten Kosten und Verluste.

1 Ein Vorfall wird für die Zwecke von Artikel 19 Absatz 1 der Verordnung (EU) 2022/2554 als schwerwiegender Vorfall angesehen, wenn die in Artikel 6 genannten kritischen Dienste beeinträchtigt und eine der folgenden beiden Bedingungen erfüllt ist: a) Die in Artikel 9 Absatz 5 Buchstabe b genannte Wesentlichkeitsschwelle ist erreicht; b) zwei oder mehr der in Artikel 9 Absätze 1 bis 6 genannten anderen Wesentlichkeitsschwellen sind erreicht.

2 Wiederholte Vorfälle, die nach Absatz 1 einzeln betrachtet keine schwerwiegenden Vorfälle sind, werden zusammengenommen als schwerwiegender Vorfall betrachtet, wenn sie alle folgenden Bedingungen erfüllen: a) Sie sind innerhalb von sechs Monaten mindestens zwei Mal aufgetreten; b) sie haben dieselbe offensichtliche Ursache im Sinne von Artikel 20 Absatz 1 Buchstabe b der Verordnung (EU) 2022/2554; c) sie erfüllen zusammengenommen die in Absatz 1 festgelegten Kriterien für die Betrachtung als schwerwiegender Vorfall. Die Finanzunternehmen bewerten das Vorliegen wiederholter Vorfälle monatlich. Dieser Absatz gilt nicht für Kleinstunternehmen und die in Artikel 16 Absatz 1 der Verordnung (EU) 2022/2554 genannten Finanzunternehmen.

1 Die Wesentlichkeitsschwelle für das Kriterium „Kunden, finanzielle Gegenparteien und Transaktionen“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist: a) Die Zahl der betroffenen Kunden beläuft sich auf mehr als 10 % aller Kunden, die die betroffene Dienstleistung nutzen; b) die Zahl der betroffenen Kunden, die die betroffene Dienstleistung nutzen, liegt bei mehr als 100000; c) die Zahl der betroffenen finanziellen Gegenparteien beläuft sich auf mehr als 30 % aller finanziellen Gegenparteien, die Tätigkeiten im Zusammenhang mit der Bereitstellung der betroffenen Dienstleistung ausüben; d) die Zahl der betroffenen Transaktionen beläuft sich auf mehr als 10 % der täglichen durchschnittlichen Zahl von Transaktionen, die das Finanzunternehmen im Zusammenhang mit der betroffenen Dienstleistung durchführt; e) der Wert der betroffenen Transaktionen beträgt mehr als 10 % des täglichen Durchschnittswerts der Transaktionen, die das Finanzunternehmen im Zusammenhang mit der betroffenen Dienstleistung durchführt; f) betroffen sind Kunden oder finanzielle Gegenparteien, die nach Artikel 1 Absatz 3 als relevant eingestuft wurden. Lässt sich die tatsächliche Anzahl der betroffenen Kunden oder finanziellen Gegenparteien oder die tatsächliche Anzahl oder der tatsächliche Wert der betroffenen Transaktionen nicht bestimmen, so schätzt das Finanzunternehmen diese Zahlen oder Werte auf der Grundlage verfügbarer Daten aus vergleichbaren Referenzzeiträumen.

2 Die Wesentlichkeitsschwelle für das Kriterium „Reputationsschaden“ ist erreicht, wenn eine der in Artikel 2 Buchstaben a bis d genannten Bedingungen erfüllt ist.

3 Die Wesentlichkeitsschwelle für das Kriterium „Dauer und Ausfallzeiten“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist: a) Der Vorfall dauert mehr als 24 Stunden; b) die Ausfallzeiten bei IKT-Diensten zur Unterstützung kritischer oder wichtiger Funktionen betragen mehr als zwei Stunden.

4 Die Wesentlichkeitsschwelle für das Kriterium „geografische Ausbreitung“ ist erreicht, wenn der Vorfall im Sinne von Artikel 4 Auswirkungen in zwei oder mehr Mitgliedstaaten hat.

5 Die Wesentlichkeitsschwelle für das Kriterium „Verluste von Daten“ ist erreicht, wenn eine der folgenden Bedingungen erfüllt ist: a) Eine in Artikel 5 genannte Auswirkung auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten hat negative Auswirkungen auf die Verwirklichung der Geschäftsziele des Finanzunternehmens oder auf dessen Fähigkeit, regulatorische Anforderungen zu erfüllen, oder wird solche negativen Auswirkungen haben; b) es findet ein nicht unter Buchstabe a fallender erfolgreicher böswilliger und unbefugter Zugriff auf Netzwerk- und Informationssysteme statt, sofern dieser Zugriff zu Verlusten von Daten führen kann.

6 Die Wesentlichkeitsschwelle für das Kriterium „wirtschaftliche Auswirkungen“ ist erreicht, wenn die Kosten und Verluste, die dem Finanzunternehmen durch den Vorfall entstanden sind, 100000 EUR übersteigen oder wahrscheinlich übersteigen werden.

Für die Zwecke von Artikel 18 Absatz 2 der Verordnung (EU) 2022/2554 wird eine Cyberbedrohung als erheblich angesehen, wenn alle folgenden Bedingungen erfüllt sind: a) Die Cyberbedrohung könnte nach den verfügbaren Informationen des Finanzunternehmens bei Eintritt kritische oder wichtige Funktionen des Finanzunternehmens beeinträchtigen oder beeinträchtigt haben oder könnte andere Finanzunternehmen, Drittdienstleister, Kunden oder finanzielle Gegenparteien beeinträchtigen. b) Die Cyberbedrohung hat eine hohe Eintrittswahrscheinlichkeit bei dem Finanzunternehmen oder bei anderen Finanzunternehmen, wenn mindestens die folgenden Elemente berücksichtigt werden: i) die mit der unter Buchstabe a genannten Cyberbedrohung zusammenhängenden einschlägigen Risiken, insbesondere auch potenzielle Schwachstellen der Systeme des Finanzunternehmens, die ausgenutzt werden können; ii) die Fähigkeiten und Absichten der Angreifer, soweit dem Finanzunternehmen bekannt; iii) das Anhalten der Bedrohung und etwaige Kenntnisse über bisherige Vorfälle, die sich auf das Finanzunternehmen oder dessen Drittdienstleister, Kunden oder finanzielle Gegenparteien ausgewirkt haben. c) Die Cyberbedrohung könnte bei Eintritt das folgende Kriterium oder einen der folgenden Schwellenwerte erfüllen: i) das in Artikel 18 Absatz 1 Buchstabe e der Verordnung (EU) 2022/2554 genannte Kriterium der Kritikalität der Dienste, wie in Artikel 6 der vorliegenden Verordnung ausgeführt; ii) die in Artikel 9 Absatz 1 ausgeführte Wesentlichkeitsschwelle; iii) die in Artikel 9 Absatz 4 ausgeführte Wesentlichkeitsschwelle. Kommt das Finanzunternehmen je nach Art der Cyberbedrohung und den verfügbaren Informationen zu dem Schluss, dass die in Artikel 9 Absätze 2, 3, 5 und 6 genannten Wesentlichkeitsschwellen erreicht werden könnten, so können diese Schwellenwerte ebenfalls berücksichtigt werden.

Die in Artikel 19 Absatz 7 der Verordnung (EU) 2022/2554 genannte Bewertung, ob der schwerwiegende Vorfall für die zuständigen Behörden in anderen Mitgliedstaaten von Belang ist, stützt sich darauf, ob der Vorfall eine von einem anderen Mitgliedstaat ausgehende Ursache oder in einem anderen Mitgliedstaat erhebliche Auswirkungen in Bezug auf eines von Folgendem hat: a) Kunden oder finanzielle Gegenparteien; b) eine Zweigniederlassung des Finanzunternehmens oder ein anderes Finanzunternehmen innerhalb der Gruppe; c) eine Finanzmarktinfrastruktur oder einen Drittdienstleister mit potenziellen Auswirkungen auf die Finanzunternehmen, für die Dienstleistungen erbracht werden.

Die Einzelheiten schwerwiegender Vorfälle, die von den zuständigen Behörden nach Artikel 19 Absatz 6 der Verordnung (EU) 2022/2554 an andere zuständige Behörden zu übermitteln sind, und die Benachrichtigungen, die die EBA, die ESMA oder die EIOPA und die EZB nach Artikel 19 Absatz 7 der genannten Verordnung an die jeweils zuständigen Behörden in anderen Mitgliedstaaten zu übermitteln haben, weisen denselben Umfang an Informationen — ohne Anonymisierung — auf wie die Meldungen schwerwiegender Vorfälle, die nach Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 von Finanzunternehmen vorzulegen sind.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.