Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.Sie gilt ab dem 17. Januar 2025.

Inkrafttreten und Anwendung

Allgemeine Bestimmungen

KAPITEL I

Gegenstand

Geltungsbereich

Begriffsbestimmungen

Grundsatz der Verhältnismäßigkeit

IKT-Risikomanagement

KAPITEL II

Abschnitt I

Governance und Organisation

Abschnitt II

IKT-Risikomanagementrahmen

IKT-Systeme, -Protokolle und -Tools

Identifizierung

Schutz und Prävention

Erkennung

Reaktion und Wiederherstellung

Richtlinie und Verfahren zum Backup sowie Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung

Lernprozesse und Weiterentwicklung

Kommunikation

Weitere Harmonisierung von Tools, Methoden, Prozessen und Richtlinien für IKT-Risikomanagement

Vereinfachter IKT-Risikomanagementrahmen

Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle

KAPITEL III

Prozess für die Behandlung IKT-bezogener Vorfälle

Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen

Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen

Harmonisierung von Inhalt und Vorlagen von Meldungen

Zentralisierung der Berichterstattung über schwerwiegende IKT-bezogene Vorfälle

Rückmeldungen von Aufsichtsbehörden

Zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen

Testen der digitalen operationalen Resilienz

KAPITEL IV

Allgemeine Anforderungen für das Testen der digitalen operationalen Resilienz

Testen von IKT-Tools und -Systemen

Erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis von TLPT

Anforderungen an Tester bezüglich der Durchführung von TLPT

Management des IKT-Drittparteienrisikos

KAPITEL V

Schlüsselprinzipien für ein solides Management des IKT-Drittparteienrisikos

Allgemeine Prinzipien

Vorläufige Bewertung des IKT-Konzentrationsrisikos auf Unternehmensebene

Wesentliche Vertragsbestimmungen

Überwachungsrahmen für kritische IKT-Drittdienstleister

Einstufung kritischer IKT-Drittdienstleister

Struktur des Überwachungsrahmens

Aufgaben der federführenden Überwachungsbehörde

Operative Zusammenarbeit zwischen den federführenden Überwachungsbehörden

Befugnisse der federführenden Überwachungsbehörde

Ausübung der Befugnisse der federführenden Überwachungsbehörde außerhalb der Union

Auskunftsersuchen

Allgemeine Untersuchungen

Inspektionen

Laufende Überwachung

Harmonisierung der Voraussetzungen für die Durchführung der Überwachungstätigkeiten

Folgemaßnahmen zuständiger Behörden

Überwachungsgebühren

Internationale Zusammenarbeit

Vereinbarungen über den Austausch von Informationen

KAPITEL VI

Vereinbarungen über den Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen

Zuständige Behörden

KAPITEL VII

Zusammenarbeit mit den durch die Richtlinie (EU) 2022/2555 geschaffenen Strukturen und Behörden

Zusammenarbeit der Behörden

Sektorübergreifende Übungen, Kommunikation und Zusammenarbeit im Finanzbereich

Verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen

Ausübung der Befugnis zur Auferlegung von verwaltungsrechtlichen Sanktionen und Abhilfemaßnahmen

Artikel 64 VO (EU) 2022/2554

Inkrafttreten und Anwendung