Delegierte Verordnung (EU) 2025/301 der Kommission vom 23. Oktober 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung des Inhalts und der Fristen für die Erstmeldung, die Zwischenmeldung und die Abschlussmeldung schwerwiegender IKT-bezogener Vorfälle sowie des Inhalts der freiwilligen Meldung erheblicher Cyberbedrohungen

Finanzunternehmen nehmen in die Erstmeldung, die Zwischenmeldung und die Abschlussmeldung gemäß Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 die folgenden allgemeinen Informationen auf: a) Art der Übermittlung (Erstmeldung, Zwischenmeldung oder Abschlussmeldung), b) Name des Finanzunternehmens, seinen LEI-Code und Art des Finanzunternehmens gemäß Artikel 2 Absatz 1 der Verordnung (EU) 2022/2554, c) Name und Identifikationscode des Unternehmens, das die Erst-, Zwischen- oder Abschlussmeldung für das Finanzunternehmen übermittelt, d) gegebenenfalls Namen und LEI-Codes aller Finanzunternehmen, die in der aggregierten Erst-, Zwischen- oder Abschlussmeldung erfasst sind, e) Kontaktdaten der Personen, die für die Kommunikation mit der zuständigen Behörde über den schwerwiegenden IKT-bezogenen Vorfall verantwortlich sind, f) gegebenenfalls Angabe des Mutterunternehmens der Gruppe, der das Finanzunternehmen angehört, g) bei monetären Auswirkungen die Währung, in der die Beträge angegeben werden.

Erstmeldungen gemäß Artikel 19 Absatz 4 Buchstabe a der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen: a) vom Finanzunternehmen zugewiesener Referenzcode des Vorfalls, b) Datum und Uhrzeit der Erkennung des Vorfalls sowie dessen Einstufung gemäß Artikel 8 der Delegierten Verordnung (EU) 2024/1772 der Kommission , c) Beschreibung des IKT-bezogenen Vorfalls, d) in den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 festgelegte Kriterien, auf deren Grundlage das Finanzunternehmen den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat, e) Mitgliedstaaten, die von dem IKT-bezogenen Vorfall betroffen sind, f) Angaben dazu, wie der IKT-bezogene Vorfall erkannt wurde, g) soweit verfügbar, Angaben zum Ursprung des IKT-bezogenen Vorfalls, h) Angaben dazu, ob das Finanzunternehmen einen Geschäftsfortführungsplan aktiviert hat, i) gegebenenfalls Angaben zur Neueinstufung des schwerwiegenden IKT-bezogenen Vorfalls als nicht schwerwiegend, j) soweit verfügbar, sonstige zweckdienliche Informationen.

Zwischenmeldungen gemäß Artikel 19 Absatz 4 Buchstabe b der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen: a) gegebenenfalls den von der zuständigen Behörde für den Vorfall mitgeteilten Referenzcode, b) Datum und Uhrzeit des Eintretens des IKT-bezogenen Vorfalls, c) gegebenenfalls Datum und Uhrzeit der Wiederaufnahme des regulären Geschäftsbetriebs des Finanzunternehmens, d) Angaben dazu, inwieweit die in den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 festgelegten Kriterien, auf deren Grundlage das Finanzunternehmen den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat, erfüllt sind, e) Art des IKT-bezogenen Vorfalls, f) gegebenenfalls vom Angreifer artikulierte Bedrohungen und eingesetzte Techniken, g) betroffene Funktionsbereiche und Geschäftsprozesse, h) betroffene Infrastrukturkomponenten, die Geschäftsprozesse unterstützen, i) Auswirkungen auf die finanziellen Interessen von Kunden, j) Angaben zur Meldung des IKT-bezogenen Vorfalls an andere Behörden, k) befristete Maßnahmen, die das Finanzunternehmen ergriffen hat oder zu ergreifen beabsichtigt, um sich von dem IKT-bezogenen Vorfall zu erholen, l) gegebenenfalls Angaben zu Kompromittierungsindikatoren.

Abschlussmeldungen gemäß Artikel 19 Absatz 4 Buchstabe c der Verordnung (EU) 2022/2554 enthalten mindestens alle nachfolgend genannten spezifischen Informationen: a) Angaben zu den Ursachen des IKT-bezogenen Vorfalls, b) Datum und Uhrzeit der Behebung des IKT-bezogenen Vorfalls sowie der Beseitigung der zugrunde liegenden Ursache(n), c) Angaben dazu, wie dem IKT-bezogenen Vorfall entgegengewirkt wurde, d) gegebenenfalls Informationen, die für die Abwicklungsbehörden relevant sind, e) Angaben zu direkten und indirekten Kosten und Verlusten, die infolge des IKT-bezogenen Vorfalls entstanden sind, und Angaben zu finanziellen Wiedereinziehungen, f) gegebenenfalls Angaben zu wiederholten IKT-bezogenen Vorfällen.

1 Finanzunternehmen übermitteln die Erst-, Zwischen- und Abschlussmeldung gemäß Artikel 19 Absatz 4 Buchstaben a, b und c der Verordnung (EU) 2022/2554 innerhalb der folgenden Fristen: a) bei der Erstmeldung: so früh wie möglich, in jedem Fall aber innerhalb von vier Stunden nach Einstufung des IKT-bezogenen Vorfalls als schwerwiegend und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat, b) bei der Zwischenmeldung: spätestens 72 Stunden nach Übermittlung der Erstmeldung, auch wenn sich gemäß Artikel 19 Absatz 4 Buchstabe b der Verordnung (EU) 2022/2554 der Status oder die Handhabung des Vorfalls nicht geändert hat. Die Finanzunternehmen übermitteln unverzüglich etwaige aktualisierte Zwischenmeldungen, in jedem Fall aber, sobald der reguläre Geschäftsbetrieb wiederaufgenommen wurde, c) bei der Abschlussmeldung: spätestens einen Monat nach Übermittlung der Zwischenmeldung oder gegebenenfalls nach der letzten aktualisierten Zwischenmeldung.

2 Hat das Finanzunternehmen einen IKT-bezogenen Vorfall nicht innerhalb von 24 Stunden nach dem Zeitpunkt, zu dem es Kenntnis von dem IKT-bezogenen Vorfall erlangt hat, sondern erst zu einem späteren Zeitpunkt als schwerwiegend eingestuft, übermittelt es die Erstmeldung innerhalb von vier Stunden, nachdem es den IKT-bezogenen Vorfall als schwerwiegend eingestuft hat.

3 Finanzunternehmen, die nicht in der Lage sind, die Erstmeldung, die Zwischenmeldung oder die Abschlussmeldung innerhalb der in Absatz 1 genannten Fristen zu übermitteln, teilen dies der zuständigen Behörde unverzüglich, spätestens jedoch innerhalb der jeweiligen Fristen für die Übermittlung der Meldung mit und geben die Gründe für die Verzögerung an.

4 Fällt die Frist für die Übermittlung der Erstmeldung, der Zwischenmeldung oder der Abschlussmeldung auf ein Wochenende oder einen Feiertag im Mitgliedstaat des meldenden Finanzunternehmens, so kann das Finanzunternehmen die Erstmeldung, die Zwischenmeldung oder die Abschlussmeldung bis 12.00 Uhr des darauffolgenden Arbeitstages übermitteln.

5 Absatz 4 gilt nicht für die Übermittlung einer Erstmeldung oder einer Zwischenmeldung durch Kreditinstitute, zentrale Gegenparteien, Betreiber von Handelsplätzen und andere Finanzunternehmen, die gemäß Artikel 3 der Richtlinie (EU) 2022/2555 als wesentliche oder wichtige Einrichtungen eingestuft sind.

6 Die zuständigen Behörden können beschließen, dass Absatz 4 nicht für die Übermittlung einer Erstmeldung oder einer Zwischenmeldung durch andere Finanzinstitute als die in Absatz 5 genannten gilt, die bedeutend oder für den Finanzsektor auf nationaler oder Unionsebene systemrelevant sind. Die zuständigen Behörden teilen den betreffenden Finanzunternehmen ihren Beschluss mit. Der Beschluss der zuständigen Behörde gilt nur für Vorfälle, die sich ereignet haben, nachdem die zuständige Behörde den betreffenden Finanzunternehmen ihre Entscheidung mitgeteilt hat.

Eine freiwillige Meldung in Bezug auf erhebliche Cyberbedrohungen gemäß Artikel 19 Absatz 2 der Verordnung (EU) 2022/2554 umfasst Folgendes: a) allgemeine Angaben zu dem meldenden Finanzunternehmen gemäß Artikel 1, b) Datum und Uhrzeit der Erkennung einer erheblichen Cyberbedrohung und sonstige relevante Zeitstempel im Zusammenhang mit der erheblichen Cyberbedrohung, c) Beschreibung der erheblichen Cyberbedrohung, d) Angaben zu den möglichen Auswirkungen der erheblichen Cyberbedrohung auf das Finanzunternehmen, seine Kunden oder Gegenparteien im Finanzbereich, e) Einstufungskriterien, die die Meldung eines schwerwiegenden Vorfalls gemäß den Artikeln 1 bis 8 der Delegierten Verordnung (EU) 2024/1772 ausgelöst hätten, wenn die Cyberbedrohung eingetreten wäre, f) Angaben zum Status der erheblichen Cyberbedrohung und dazu, ob sich die Bedrohungsaktivität verändert hat, g) gegebenenfalls Beschreibung der Maßnahmen, die das Finanzunternehmen ergriffen hat, um das Eintreten erheblicher Cyberbedrohungen zu verhindern, h) Angabe dazu, ob andere Finanzunternehmen oder Behörden über die erhebliche Cyberbedrohung benachrichtigt wurden, i) gegebenenfalls Angaben zu Kompromittierungsindikatoren, j) soweit verfügbar, sonstige zweckdienliche Informationen.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.