Erwägungsgrund 36 32023R2841

Mit dieser Verordnung wird ein mehrstufiger Ansatz für die Meldung erheblicher Sicherheitsvorfälle festgelegt, um die richtige Balance herzustellen zwischen einer zeitnahen Meldung einerseits, die einer potenziellen Ausbreitung erheblicher Sicherheitsvorfälle entgegenwirkt und den Einrichtungen der Union die Möglichkeit bietet, Unterstützung zu erhalten, und einer detaillierten Meldung andererseits, bei der aus individuellen Sicherheitsvorfällen wichtige Lehren gezogen werden und einzelne Einrichtungen der Union ihre Cyberresilienz im Laufe der Zeit verbessern können und zu einer Verbesserung ihrer Cybersicherheitslage insgesamt beigetragen wird. Diesbezüglich sollte diese Verordnung die Meldung von Sicherheitsvorfällen umfassen, die — auf Grundlage einer von der betreffenden Einrichtung der Union durchgeführten ersten Bewertung — schwerwiegende Störungen des Betriebs der betreffenden Einrichtung der Union oder finanzielle Verluste für die betreffende Einrichtung der Union verursachen könnten oder anderen natürlichen oder juristischen Personen erheblichen immateriellen Schaden verursachen könnten. Bei dieser ersten Bewertung sollten unter anderem die betroffenen Netz- und Informationssysteme — insbesondere ihre Bedeutung für den Betrieb der Einrichtung der Union —, die Schwere und die technischen Merkmale einer Cyberbedrohung und alle zugrunde liegenden Schwachstellen, die ausgenutzt werden, sowie die Erfahrungen der Einrichtung der Union mit ähnlichen Sicherheitsvorfällen berücksichtigt werden. Indikatoren wie das Ausmaß, in dem der Betrieb der Einrichtung der Union beeinträchtigt wird, die Dauer eines Sicherheitsvorfalls oder die Zahl der betroffenen natürlichen oder juristischen Personen könnten eine wichtige Rolle bei der Feststellung spielen, ob die Betriebsstörung schwerwiegend ist.