Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk, EU 2024, Wirtschaft/Finanzwesen - EU Bund

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 ¹, insbesondere auf Artikel 18 Absatz 4 Unterabsatz 3,

in Erwägung nachstehender Gründe:

(1) Die Verordnung (EU) 2022/2554 zielt darauf ab, die Anforderungen für die Meldung von IKT-bezogenen Vorfällen und von zahlungsbezogenen Betriebs- oder Sicherheitsvorfällen, die Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen, (im Folgenden "Vorfälle") zu harmonisieren und zu straffen. Da die Meldeanforderungen für 20 unterschiedliche Arten von Finanzunternehmen gelten, sollten die Klassifizierungskriterien und Wesentlichkeitsschwellen für die Bestimmung schwerwiegender Vorfälle und erheblicher Cyberbedrohungen auf eine einfache, harmonisierte und kohärente Weise festgelegt werden, die den Besonderheiten der Dienstleistungen und Tätigkeiten aller relevanten Finanzunternehmen Rechnung trägt.

(2) Um Verhältnismäßigkeit sicherzustellen, sollten die Klassifizierungskriterien und Wesentlichkeitsschwellen die Größe und das Gesamtrisikoprofil sowie die Art, den Umfang und die Komplexität der Dienstleistungen aller Finanzunternehmen widerspiegeln. Darüber hinaus sollten die Kriterien und Wesentlichkeitsschwellen so konzipiert sein, dass sie für alle Finanzunternehmen unabhängig von deren Größe und Risikoprofil in kohärenter Weise gelten und kleineren Finanzunternehmen keinen unverhältnismäßigen Meldeaufwand auferlegen. Jedoch sollte für Fälle, in denen eine erhebliche Zahl von Kunden von einem Vorfall betroffen ist, der den geltenden Schwellenwert für sich genommen nicht überschreitet, ein absoluter Schwellenwert festgelegt werden, der hauptsächlich auf größere Finanzunternehmen abstellt.

(3) Im Falle bereits vor Inkrafttreten der Verordnung (EU) 2022/2554 bestehender Rahmenwerke für die Meldung von Vorfällen sollte den Finanzunternehmen Kontinuität gewährleistet werden. Deshalb sollten die Klassifizierungskriterien und Wesentlichkeitsschwellen auf die EBA-Leitlinien für die Meldung schwerwiegender Vorfälle gemäß der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates ², auf die Leitlinien für die regelmäßige Unterrichtung und die Meldung wesentlicher Änderungen an die ESMa durch Transaktionsregister, auf den EZB/SSM-Rahmen für die Meldung von Cybervorfällen und auf andere einschlägige Leitlinien abgestimmt sein und sich daran orientieren. Die Klassifizierungskriterien und Schwellenwerte sollten auch für Finanzunternehmen geeignet sein, die vor der Verordnung (EU) 2022/2554 noch keinen Anforderungen für die Meldung von Vorfällen unterlagen.

(4) Was das Klassifizierungskriterium "Wert und Anzahl der betroffenen Transaktionen" betrifft, so ist der Begriff der Transaktion weit gefasst und beinhaltet verschiedene Tätigkeiten und Dienstleistungen aus den für Finanzunternehmen geltenden sektorspezifischen Rechtsakten. Für die Zwecke dieses Klassifizierungskriteriums sollten Zahlungsvorgänge und alle Formen des Austauschs von Finanzinstrumenten, Kryptowerten, Waren oder anderen Vermögenswerten, auch in Form von Einschüssen, Sicherheiten oder Pfandrechten, sowohl gegen Bargeld als auch gegen jeden anderen Vermögenswert, abgedeckt werden. Alle Transaktionen mit Vermögenswerten, deren Wert als Geldbetrag ausgedrückt werden kann, sollten für die Zwecke der Klassifizierung berücksichtigt werden.