Artikel 14 VO (EU) 2026/255

(1) IIP und RRM ergreifen die in Absatz 2 aufgeführten Maßnahmen, wenn einer der folgenden Vorfälle auftritt:

a)

Missbrauch oder unbefugter Zugang zu den IT-Systemen der IIP oder des RRM,

b)

Sicherheitsvorfälle in Verbindung mit Informationssystemen im Sinne von Artikel 6 Absatz 6 der Richtlinie (EU) 2022/2555,

c)

unbefugte Offenlegung vertraulicher Informationen, die von IIP-Kunden und RRM-Kunden an die IIP oder den RRM und von der IIP oder dem RRM an die Agentur übermittelt werden,

d)

Verletzung der Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Zurechenbarkeit und Zuverlässigkeit der in den Systemen der IIP und des RRM verarbeiteten Informationen und, im Falle von IIP, Bekanntwerden der verarbeiteten Informationen vor ihrer Veröffentlichung,

e)

jedes Ereignis, das die Nichtabstreitbarkeit der Daten behindert oder beeinträchtigt.

(2) IIP und RRM müssen

a)

die Agentur innerhalb von 24 Stunden, nachdem sie davon Kenntnis erlangt haben, über den Vorfall informieren,

b)

etwaige IIP-Kunden und RRM-Kunden, die von dem Sicherheitsvorfall betroffen sind oder betroffen sein könnten, innerhalb von 48 Stunden, nachdem sie davon Kenntnis erlangt haben, informieren,

c)

der Agentur innerhalb von 72 Stunden, nachdem sie von dem Vorfall Kenntnis erlangt haben, eine erste Bewertung des Vorfalls übermitteln,

d)

der Agentur innerhalb eines Monats, nachdem sie von dem Vorfall Kenntnis erlangt haben, einen ausführlichen Bericht über den Vorfall vorlegen, in dem die Art des Vorfalls, die ergriffenen Abhilfemaßnahmen und die umgesetzten Initiativen zur Vermeidung ähnlicher Ereignisse in der Zukunft dargelegt werden.