Edit obligation

Approval Due Diligence Governance Other Record Keeping Reporting Stakeholder Engagement

Annual Biennial Continuous Event-triggered Monthly One-time Other Quarterly Weekly

Annual Biennial Continuous Event-triggered Monthly One-time Other Quarterly Weekly

Regulation-wide (no rule set) Entity of a type listed in Annex I or II, medium-sized or larger, active in the Union Entity covered irrespective of its size Essential entity Important entity Providers of DNS, TLD, domain registration, cloud, data centre and content delivery services, managed (security) services, online marketplaces, online search engines and social networks TLD name registries and entities providing domain name registration services Essential or important entity Providers of DNS, TLD, domain registration, cloud, data centre and content delivery services, managed (security) services, online marketplaces, online search engines and social networks without an establishment in the Union Company in NACE Rev. 2 Section C divisions 26 to 30, medium-sized or larger, active in the Union

The entity submits an early warning to its CSIRT or, where applicable, to its competent authority without undue delay and in any event within 24 hours of becoming aware of a significant incident. The early warning states, where applicable, whether the incident is suspected of being caused by unlawful or malicious acts or could have a cross-border impact. Under Article 23(3) an incident is significant if it has caused or is capable of causing severe operational disruption of the services or financial loss for the entity, or if it has affected or is capable of affecting other natural or legal persons by causing considerable material or non-material damage. Notification alone does not increase the liability of the notifying entity. The clock starts on becoming aware, not on the incident occurring, so the entity needs a process that documents that moment.

Die Einrichtung übermittelt ihrem CSIRT oder gegebenenfalls ihrer zuständigen Behörde unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls, eine Frühwarnung. In der Frühwarnung ist gegebenenfalls anzugeben, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte. Ein Sicherheitsvorfall gilt nach Artikel 23 Absatz 3 als erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Mit der bloßen Meldung wird keine höhere Haftung der meldenden Einrichtung begründet. Die Frist beginnt mit der Kenntnisnahme, nicht mit dem Eintritt des Vorfalls — die Einrichtung braucht deshalb einen Prozess, der diese Kenntnisnahme dokumentiert.

The notifying entity; the recipient is the CSIRT or, where applicable, the competent authority of the Member State.

Die meldende Einrichtung; Empfänger ist das CSIRT oder gegebenenfalls die zuständige Behörde des Mitgliedstaats.

Evidence of the time of becoming aware, the time of submission and the content of the early warning.

Nachweis über den Zeitpunkt der Kenntnisnahme und den Zeitpunkt der Übermittlung sowie über den Inhalt der Frühwarnung.