Die Bestimmung der wirtschaftlichen Auswirkungen (Kosten) hat nach Artikel 7 Delegierte Verordnung (EU) 2024/1772 zu erfolgen. Demnach berücksichtigen Finanzunternehmen, ohne Einrechnung von finanziellen Wiedereinziehungen, die folgenden Arten von direkten und indirekten Kosten und Verlusten, die ihnen infolge des Vorfalls entstanden sind:
a) enteignete Mittel oder finanzielle Vermögenswerte, für die sie haften, einschließlich gestohlener Vermögenswerte;
b) Kosten für die Ersetzung oder Verlegung von Software, Hardware oder Infrastruktur;
c) Personalkosten, einschließlich Kosten im Zusammenhang mit der Ersetzung oder Verlegung von Personal, der Einstellung zusätzlichen Personals, der Vergütung von Überstunden und der Wiederherstellung verloren gegangener oder beeinträchtigter Kompetenzen; (Hierunter werden auch kalkulatorische Kosten und Kosten für die Berichterstattung über den Vorfall verstanden, sodass für jeden meldepflichtigen Vorfall Kosten vermutet werden.)
d) Gebühren wegen Nichteinhaltung vertraglicher Verpflichtungen;
e) Kosten für Ausgleichs- und Entschädigungszahlungen an Kunden;
f) Verluste wegen entgangener Einnahmen;
g) Kosten für die interne und externe Kommunikation;
h) Beratungskosten, einschließlich Kosten für Rechtsberatung, forensische Dienstleistungen und Behebungsdienstleistungen.
Kosten, die für den alltäglichen Geschäftsbetrieb notwendig sind, insbesondere
a) Kosten für die allgemeine Instandhaltung von Infrastruktur, Ausrüstung, Hardware und Software und keine Kosten für die laufende Fortbildung des Personals, um dessen Kompetenzen auf Stand zu halten;
b) interne oder externe Kosten für die Verstärkung des Geschäftsbetriebs nach dem Vorfall, insbesondere auch keine Kosten für Upgrades, Verbesserungen und Initiativen zur Risikobewertung;
c) Versicherungsprämien
sind nicht zu berücksichtigen.
