Welche Meldungen sind nach einem schwerwiegenden Vorfall vorzulegen?

Nach einem schwerwiegenden IKT-bezogenen Vorfall müssen Finanzunternehmen der jeweils zuständigen Behörde folgende Meldungen vorlegen:

• eine Erstmeldung;
• eine Zwischenmeldung, sobald sich der Status des ursprünglichen Vorfalls oder dessen Handhabung aufgrund neuer Informationen erheblich geändert hat, gegebenenfalls mit weiteren aktualisierten Meldungen sowie auf ausdrücklichen Antrag der zuständigen Behörde;
• eine Abschlussmeldung, sobald die Ursachenanalyse abgeschlossen ist und die tatsächlichen Auswirkungen beziffert werden können, unabhängig davon, ob bereits Minderungsmaßnahmen getroffen wurden.

Die Meldungen sind innerhalb der von den ESA zu erarbeitenden Fristen einzureichen. Sie müssen alle Informationen enthalten, die die zuständige Behörde zur Bewertung der Signifikanz des Vorfalls und möglicher grenzüberschreitender Auswirkungen benötigt. Für die Erstellung ist grundsätzlich die in Artikel 20 genannte Vorlage zu verwenden, sofern dies technisch möglich ist.