Anhang I Vorlagen für die meldung schwerwiegender sicherheitsvorfälle

Allgemeine Angaben zum Finanzunternehmen

1.1

Art der Übermittlung

1.2

Name des Unternehmens, das die Meldung übermittelt

1.3

Identifikationscode des Unternehmens, das die Meldung übermittelt

1.4

Art des betroffenen Finanzunternehmens

1.5

Name des betroffenen Finanzunternehmens

1.6

LEI-Code des betroffenen Finanzunternehmens

1.7

Name des Hauptansprechpartners

1.8

E-Mail-Adresse des Hauptansprechpartners

1.9

Telefonnummer des Hauptansprechpartners

1.10

Name des zweiten Ansprechpartners

1.11

E-Mail-Adresse des zweiten Ansprechpartners

1.12

Telefonnummer des zweiten Ansprechpartners

1.13

Name des obersten Mutterunternehmensein Mutterunternehmen im Sinne von Artikel 2 Nummer 9 und Artikel 22 der Richtlinie 2013/34/EU;

1.14

LEI-Code des obersten Mutterunternehmensein Mutterunternehmen im Sinne von Artikel 2 Nummer 9 und Artikel 22 der Richtlinie 2013/34/EU;

1.15

Meldewährung

Inhalt der Erstmeldung

2.1

Vom Finanzunternehmen zugewiesener Referenzcode für den Vorfall

2.2

Datum und Uhrzeit der Feststellung des schwerwiegenden IKT-bezogenen Vorfalls

2.3

Datum und Uhrzeit der Einstufung des IKT-bezogenen Vorfalls als schwerwiegend

2.4

Beschreibung des schwerwiegenden IKT-bezogenen Vorfalls

2.5

Einstufungskriterien, die die Meldung des Vorfalls ausgelöst haben

2.6

Wesentlichkeitsschwellen für das Einstufungskriterium „Geografische Ausbreitung“

2.7

Feststellung des schwerwiegenden IKT-bezogenen Vorfalls

2.8

Angabe, ob der schwerwiegende IKT-bezogene Vorfall bei einem Drittdienstleister oder einem anderen Finanzunternehmen seinen Ursprung hat

2.9

Aktivierung des Plans zur Aufrechterhaltung des Geschäftsbetriebs, falls aktiviert

2.10

Sonstige zweckdienliche Angaben

Inhalt der Zwischenmeldung

3.1

Von der zuständigen Behörde bereitgestellter Referenzcode für den Vorfall

3.2

Datum und Uhrzeit des Eintretens des schwerwiegenden IKT-bezogenen Vorfalls

3.3

Datum und Uhrzeit der Wiederherstellung der Dienste, Tätigkeiten oder Vorgänge

3.4

Anzahl der betroffenen Kunden

3.5

Prozentsatz der betroffenen Kunden

3.6

Anzahl der betroffenen Gegenparteien im Finanzbereich

3.7

Prozentsatz der betroffenen Gegenparteien im Finanzbereich

3.8

Auswirkungen auf einschlägige Kunden oder Gegenparteien im Finanzbereich

3.9

Anzahl der betroffenen Transaktionen

3.10

Prozentsatz der betroffenen Transaktionen

3.11

Wert der betroffenen Transaktionen

3.12

Angaben dazu, ob es sich um tatsächliche Zahlen oder Schätzungen handelt oder ob es keine Auswirkungen gegeben hat

3.13

Reputationsschaden

3.14

Kontextbezogene Angaben zum Reputationsschaden

3.15

Dauer des schwerwiegenden IKT-bezogenen Vorfalls

3.16

Ausfallzeiten

3.17

Angaben dazu, ob es sich bei der Dauer und den Ausfallzeiten um tatsächliche Zahlen oder Schätzungen handelt

3.18

Arten von Auswirkungen in den Mitgliedstaaten

3.19

Beschreibung der Auswirkungen des schwerwiegenden IKT-bezogenen Vorfalls in anderen Mitgliedstaaten

3.20

Wesentlichkeitsschwellen für das Einstufungskriterium „Datenverluste“

3.21

Beschreibung der Datenverluste

3.22

Einstufungskriterium „Betroffene kritische Dienstleistungen“

3.23

Art des schwerwiegenden IKT-bezogenen Vorfalls

3.24

Andere Arten von Vorfällen

3.25

Bedrohungen und Techniken des Angreifers

3.26

Andere Arten von Techniken

3.27

Angaben zu betroffenen Funktionsbereichen und Geschäftsprozessen

3.28

Betroffene Infrastrukturkomponenten, die Geschäftsprozesse unterstützen

3.29

Angaben zu betroffenen Infrastrukturkomponenten, die Geschäftsprozesse unterstützen

3.30

Auswirkungen auf die finanziellen Interessen von Kunden

3.31

Meldung an andere Behörden

3.32

Angabe der „anderen“ Behörden

3.33

Ergriffene oder geplante befristete Maßnahmen zur Wiederherstellung nach dem Vorfall

3.34

Beschreibung etwaiger ergriffener oder geplanter befristeter Maßnahmen zur Wiederherstellung nach dem Vorfall

3.35

Kompromittierungsindikatoren

Inhalt der Abschlussmeldung

4.1

Übergeordnete Einstufung der Ursachen des Vorfalls

4.2

Detaillierte Einstufung der Ursachen des Vorfalls

4.3

Weitergehende Einstufung der Ursachen des Vorfalls

4.4

Andere Arten von Ursachen

4.5

Angaben zu den Ursachen des Vorfalls

4.6

Zusammenfassung der Behebung des Vorfalls

4.7

Datum und Uhrzeit der Behebung der Ursache des Vorfalls

4.8

Datum und Uhrzeit der Behebung des Vorfalls

4.9

Angabe, falls das Datum der dauerhaften Behebung des Vorfalls von dem ursprünglich geplanten Umsetzungsdatum abweicht

4.10

Bewertung des Risikos für kritische Funktionen für Abwicklungszwecke

4.11

Für Abwicklungsbehörden relevante Angaben

4.12

Wesentlichkeitsschwelle für das Einstufungskriterium „Wirtschaftliche Auswirkungen“

4.13

Betrag der direkten und indirekten Bruttokosten und Verluste

4.14

Betrag der finanziellen Rückflüsse

4.15

Angaben dazu, ob sich die nicht schwerwiegenden Vorfälle wiederholt haben

4.16

Datum und Uhrzeit des Eintretens wiederholter Vorfälle