EG 36 – NIS2UmsVO – Definition finanzielle Verluste infolge eines Sicherheitsvorfalls

Erwägungsgrund 36 der NIS2UmsVO

Bei der Bestimmung der direkten finanziellen Verluste infolge eines Sicherheitsvorfalls sollten die betreffenden Einrichtungen alle finanziellen Verluste berücksichtigen, die ihnen infolge des Sicherheitsvorfalls entstanden sind, wie etwa

• Kosten für die Ersetzung oder Verlegung von Software, Hardware oder Infrastruktur,
• Personalkosten, einschließlich Kosten im Zusammenhang mit der Ersetzung oder Verlegung von Personal, der Einstellung zusätzlichen Personals, der Vergütung von Überstunden und der Wiederherstellung verloren gegangener oder beeinträchtigter Kompetenzen,
• Gebühren wegen Nichteinhaltung vertraglicher Verpflichtungen,
• Kosten für Ausgleichs- und Entschädigungszahlungen an Kunden, Verluste wegen entgangener Einnahmen, Kosten für interne und externe Kommunikation, Beratungskosten, einschließlich Kosten im Zusammenhang mit Rechtsberatung, forensischen Dienstleistungen und Behebungsdienstleistungen, und sonstige Kosten im Zusammenhang mit dem Sicherheitsvorfall.

Geldbußen wie auch Kosten, die für den laufenden Geschäftsbetrieb erforderlich sind, sollten jedoch nicht als finanzielle Verluste infolge eines Sicherheitsvorfalls betrachtet werden, darunter etwa

• Kosten für die allgemeine Wartung von Infrastruktur, Ausrüstung, Hardware und Software,
• Kosten für die laufende Fortbildung des Personals, um dessen Kompetenzen auf dem aktuellen Stand zu halten,
• interne oder externe Kosten für die Verstärkung des Geschäftsbetriebs nach dem Vorfall,
  einschließlich für Aufrüstungen, Verbesserungen und Initiativen zur Risikobewertung, sowie
• Versicherungsprämien.

Die betreffenden Einrichtungen sollten die Höhe der finanziellen Verluste auf der Grundlage vorliegender Daten berechnen, und wenn die tatsächliche Höhe der finanziellen Verluste nicht bestimmt werden kann, sollten die Einrichtungen solche Beträge schätzen.