Durchführungsverordnung (EU) 2025/302 der Kommission vom 23. Oktober 2024 zur Festlegung technischer Durchführungsstandards für die Anwendung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates im Hinblick auf Standardformulare, Vorlagen und Verfahren für Finanzunternehmen zur Meldung eines schwerwiegenden IKT-bezogenen Vorfalls oder einer erheblichen Cyberbedrohung

1 Finanzunternehmen verwenden für die Übermittlung der in Artikel 19 Absatz 4 der Verordnung (EU) 2022/2554 genannten Erstmeldung, Zwischenmeldung und Abschlussmeldung die Vorlage in Anhang I wie folgt: a) Finanzunternehmen, die eine Erstmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 2 der Delegierten Verordnung (EU) 2025/301 der Kommission geforderten Informationen entsprechen, und können, wenn sie bereits über diese Informationen verfügen, diejenigen Datenfelder ausfüllen, die nicht für eine Erstmeldung, sondern für eine Zwischen- oder Abschlussmeldung ausgefüllt werden müssen. b) Finanzunternehmen, die eine Zwischenmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 3 der Delegierten Verordnung (EU) 2025/301 geforderten Informationen entsprechen, und können, wenn sie bereits über diese Informationen verfügen, diejenigen Datenfelder ausfüllen, die nicht für eine Zwischenmeldung, sondern für eine Abschlussmeldung ausgefüllt werden müssen. c) Finanzunternehmen, die eine Abschlussmeldung übermitteln, füllen diejenigen Datenfelder der Vorlage aus, die den nach Artikel 4 der Delegierten Verordnung (EU) 2025/301 geforderten Informationen entsprechen.

2 Die Finanzunternehmen stellen sicher, dass die in der Erstmeldung sowie in der Zwischenmeldung und der Abschlussmeldung enthaltenen Informationen vollständig und korrekt sind.

3 Finanzunternehmen geben, soweit möglich, Schätzwerte auf der Grundlage anderer verfügbarer Daten und Informationen an, wenn zum Zeitpunkt der Erstmeldung oder der Zwischenmeldung keine genauen Daten verfügbar sind.

4 Bei der Übermittlung einer Zwischen- oder Abschlussmeldung verwenden Finanzunternehmen die Vorlage in Anhang I, um alle erforderlichen Informationen zu übermitteln und gegebenenfalls die Informationen zu aktualisieren, die zuvor in der Erstmeldung oder in der Zwischenmeldung übermittelt wurden.

5 Beim Ausfüllen der Vorlage in Anhang I beachten die Finanzunternehmen das Datenglossar und die Anleitung in Anhang II.

Finanzunternehmen können die Erstmeldung, die Zwischenmeldung und die Abschlussmeldung zusammenlegen und zwei oder alle Meldungen gleichzeitig übermitteln, wenn der reguläre Geschäftsbetrieb wiederhergestellt ist oder die Ursachenanalyse abgeschlossen wurde und die Fristen gemäß Artikel 5 der Delegierten Verordnung (EU) 2025/301 eingehalten werden.

Finanzunternehmen, die Informationen über wiederholte nicht schwerwiegende IKT-bezogene Vorfälle bereitstellen, die zusammen die Voraussetzungen für einen schwerwiegenden IKT-bezogenen Vorfall gemäß Artikel 8 Absatz 2 der Delegierten Verordnung (EU) 2024/1772 erfüllen, übermitteln diese Informationen in aggregierter Form.

1 Finanzunternehmen nutzen sichere elektronische Kanäle, die von ihrer zuständigen Behörde für die Übermittlung der Erst-, Zwischen- und Abschlussmeldung bereitgestellt werden.

2 Finanzunternehmen, die nicht in der Lage sind, die von ihrer zuständigen Behörde bereitgestellten sicheren elektronischen Kanäle zu nutzen, unterrichten ihre zuständige Behörde im Einvernehmen mit der zuständigen Behörde auf andere sichere Weise über einen schwerwiegenden IKT-bezogenen Vorfall. Auf Verlangen der zuständigen Behörde übermitteln Finanzunternehmen die Erst-, Zwischen- oder Abschlussmeldung erneut über den von ihrer zuständigen Behörde bereitgestellten sicheren elektronischen Kanal, sobald sie dazu in der Lage sind.

Kommt das Finanzunternehmen nach eingehender Prüfung zu dem Schluss, dass der zuvor als „schwerwiegend“ gemeldete IKT-bezogene Vorfall zu keinem Zeitpunkt die in Artikel 8 der Delegierten Verordnung (EU) 2024/1772 festgelegten Einstufungskriterien und Schwellenwerte erfüllte, so teilt es der zuständigen Behörde mit, dass es den IKT-bezogenen Vorfall von „schwerwiegend“ auf „nicht schwerwiegend“ zurückgestuft hat, und macht in der Vorlage in Anhang II dieser Verordnung in den Feldern „Art der Meldung“ und „Sonstige Informationen“ entsprechende Angaben zu dieser Rückstufung.

1 Finanzunternehmen, die die Verpflichtung zur Meldung schwerwiegender IKT-bezogener Vorfälle gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 ausgelagert haben, unterrichten ihre zuständige Behörde über die Vereinbarung zur Auslagerung, sobald diese abgeschlossen wurde, spätestens jedoch vor der ersten Meldung.

2 Finanzunternehmen teilen der zuständigen Behörde den Namen, die Kontaktdaten und den Identifikationscode des Dritten mit, der die Meldungen schwerwiegender IKT-bezogener Vorfälle für sie übermitteln wird.

3 Finanzunternehmen unterrichten ihre zuständige Behörde, sobald sie ihre Meldepflichten gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 nicht mehr auslagern.

1 Ein Drittdienstleister, an den Meldepflichten gemäß Artikel 19 Absatz 5 der Verordnung (EU) 2022/2554 ausgelagert wurden, kann die Vorlage in Anhang I dieser Verordnung verwenden, um aggregierte Informationen über einen schwerwiegenden IKT-bezogenen Vorfall, der sich auf mehrere Finanzunternehmen auswirkt, in einer einzigen Meldung bereitzustellen und diese Meldung im Namen aller betroffenen Finanzunternehmen der zuständigen Behörde zu übermitteln, sofern alle folgenden Voraussetzungen erfüllt sind: a) Der zu meldende schwerwiegende IKT-bezogene Vorfall hat bei einem IKT- Drittdienstleister seinen Ursprung oder wird von diesem verursacht. b) Dieser Drittdienstleister erbringt die betreffende IKT-Dienstleistung für mehr als ein Finanzunternehmen oder für eine Gruppe. c) Der IKT-bezogene Vorfall wird von jedem in der aggregierten Meldung erfassten Finanzunternehmen als schwerwiegend eingestuft. d) Der schwerwiegende IKT-bezogene Vorfall betrifft Finanzunternehmen im selben Mitgliedstaat und die aggregierte Meldung bezieht sich auf Finanzunternehmen, die von derselben zuständigen Behörde beaufsichtigt werden. e) Die zuständigen Behörden haben dieser Art von Finanzunternehmen ausdrücklich gestattet, aggregierte Meldungen zu übermitteln.

2 Absatz 1 gilt nicht für Kreditinstitute, die gemäß Artikel 2 Nummer 16 der Verordnung (EU) Nr. 468/2014 der Europäischen Zentralbank als von erheblicher Bedeutung angesehen werden, Betreiber von Handelsplätzen und zentrale Gegenparteien, die nur die Vorlage in Anhang I verwenden, um Meldungen schwerwiegender IKT-bezogener Vorfälle einzeln an ihre zuständige Behörde zu übermitteln.

3 Verlangen die zuständigen Behörden Informationen über die individuellen Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls auf ein einzelnes Finanzunternehmen, so übermittelt das Finanzunternehmen auf Ersuchen der zuständigen Behörde eine Einzelmeldung über den schwerwiegenden IKT-bezogenen Vorfall.

1 Finanzunternehmen, die den zuständigen Behörden gemäß Artikel 19 Absatz 2 der Verordnung (EU) 2022/2554 erhebliche Cyberbedrohungen melden, verwenden die Vorlage in Anhang III dieser Verordnung und befolgen das Datenglossar und die Anleitung in Anhang IV dieser Verordnung.

2 Finanzunternehmen stellen sicher, dass die in der Meldung erheblicher Cyberbedrohungen enthaltenen Informationen vollständig und korrekt sind.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.