5.

Artikel 28 erhält folgende Fassung: „Artikel 28 Sicherheitsanforderungen und Kontrollverfahren (1) Die Teilnehmer führen zum Schutz ihrer Systeme vor unberechtigtem Zugriff und unbefugter Nutzung angemessene Sicherheitskontrollen durch. Der angemessene Schutz der Vertraulichkeit, Integrität und Verfügbarkeit ihrer Systeme obliegt der ausschließlichen Verantwortung der Teilnehmer. (2) Die Teilnehmer informieren die [Name der Zentralbank einfügen] über alle sicherheitsrelevanten Vorfälle in ihrer technischen Infrastruktur und, sofern dies angemessen erscheint, über sicherheitsrelevante Vorfälle in der technischen Infrastruktur von Drittanbietern. Die [Name der Zentralbank einfügen] kann weitere Informationen über den Vorfall anfordern und erforderlichenfalls verlangen, dass der Teilnehmer angemessene Maßnahmen ergreift, um solche Ereignisse zukünftig zu vermeiden. (3) Die [Name der Zentralbank einfügen] kann für alle Teilnehmer und/oder Teilnehmer, die von der [Name der Zentralbank einfügen] als systemkritisch angesehen werden, zusätzliche Sicherheitsanforderungen verlangen, insbesondere im Hinblick auf Cybersicherheit oder Betrugsbekämpfung. (4) Teilnehmer i) gewähren der [Name der Zentralbank einfügen] dauerhaften Zugang zu ihrer Bescheinigung über die Einhaltung der Endpunktsicherheitsanforderungen des von ihnen gewählten TARGET2-Netzwerkdienstleisters und ii) übermitteln der [Name der Zentralbank einfügen] jährlich die auf der Website der [Name der Zentralbank einfügen] und der Website der EZB in englischer Sprache veröffentlichte TARGET2-Selbstzertifizierungserklärung. (4a) Die [Name der Zentralbank einfügen] beurteilt anhand der Selbstzertifizierungserklärung(en) des Teilnehmers den Grad der Einhaltung jeder der in den TARGET2-Selbstzertifizierungsanforderungen festgelegten Anforderungen durch den Teilnehmer. Diese Anforderungen sind in Anlage VIII aufgeführt, die neben den in Artikel 2 Absatz 1 genannten Anlagen Bestandteil dieser Bedingungen sind. (4b) Der Grad der Einhaltung der Anforderungen der TARGET2-Selbstzertifizierung durch den Teilnehmer wird, geordnet nach zunehmendem Schweregrad der Nichteinhaltung, wie folgt eingestuft: ‚vollständige Einhaltung‘, ‚geringfügige Nichteinhaltung‘, ‚gravierende Nichteinhaltung‘. Die folgenden Kriterien finden Anwendung: Vollständige Einhaltung ist erreicht, wenn ein Teilnehmer 100 % der Anforderungen erfüllt; eine geringfügige Nichteinhaltung liegt vor, wenn ein Teilnehmer weniger als 100 %, aber mindestens 66 % der Anforderungen erfüllt, und eine gravierende Nichteinhaltung liegt vor, wenn ein Teilnehmer weniger als 66 % der Anforderungen erfüllt. Weist ein Teilnehmer nach, dass eine bestimmte Anforderung auf ihn nicht anwendbar ist, so wird für die Zwecke der Einstufung davon ausgegangen, dass er die Anforderungen erfüllt. Ein Teilnehmer, der die ‚vollständige Einhaltung‘ nicht erreicht, legt einen Maßnahmenplan vor, aus dem hervorgeht, wie er die vollständige Einhaltung zu erreichen beabsichtigt. Die [Name der Zentralbank einfügen] unterrichtet die betreffenden Aufsichtsbehörden über den Stand der Einhaltung durch den jeweiligen Teilnehmer. (4c) Verweigert der Teilnehmer den dauerhaften Zugang zu seiner Bescheinigung über die Einhaltung der Endpunktsicherheitsanforderungen seines gewählten Netzwerkdienstleisters oder übermittelt er die TARGET2-Selbstzertifizierung nicht, so wird der Grad der Einhaltung der Anforderungen durch den Teilnehmer als ‚gravierende Nichteinhaltung‘ eingestuft. (4d) Die [Name der Zentralbank einfügen] beurteilt jährlich erneut die Einhaltung der Anforderungen durch die Teilnehmer. (4e) Die [Name der Zentralbank einfügen] kann Teilnehmern, deren Grad der Einhaltung der Anforderungen als geringfügige oder gravierende Nichteinhaltung eingestuft wurde, mit zunehmendem Schweregrad folgende Abhilfemaßnahmen auferlegen: i) verstärkte Überwachung: Der Teilnehmer legt der [Name der Zentralbank einfügen] monatlich einen von einem leitenden Angestellten unterzeichneten Bericht über seine Fortschritte bei der Behebung der Nichteinhaltung vor. Darüber hinaus zahlt der Teilnehmer für jedes betroffene Konto ein monatliches Strafentgelt in Höhe seiner monatlichen Gebühr gemäß Anlage VI Nummer 1 ohne Transaktionsgebühren. Diese Abhilfemaßnahme kann auferlegt werden, wenn bei der Beurteilung der Einhaltung der Anforderungen durch den Teilnehmer zweimal in Folge eine geringfügige Nichteinhaltung oder eine gravierende Nichteinhaltung festgestellt wird; ii) Suspendierung: Die Teilnahme an TARGET2-[Zentralbank/Ländercode einfügen] kann bei Vorliegen der in Artikel 34 Absatz 2 Buchstaben b und c dieses Anhangs beschriebenen Umstände suspendiert werden. Abweichend von Artikel 34 dieses Anhangs erfolgt die Suspendierung der Teilnahme mit einer Ankündigungsfrist von drei Monaten. Der Teilnehmer zahlt für jedes suspendierte Konto ein monatliches Strafentgelt in Höhe seiner doppelten monatlichen Gebühr gemäß Anlage VI Nummer 1 ohne Transaktionsgebühren. Diese Abhilfemaßnahme kann auferlegt werden, wenn bei der Beurteilung der Einhaltung der Anforderungen durch den Teilnehmer zweimal in Folge eine gravierende Nichteinhaltung festgestellt wird; iii) Beendigung: Die Teilnahme an TARGET2-[Zentralbank/Ländercode einfügen] kann bei Vorliegen der in Artikel 34 Absatz 2 Buchstaben b und c dieses Anhangs beschriebenen Umstände beendet werden. Abweichend von Artikel 34 dieses Anhangs erfolgt die Beendigung der Teilnahme mit einer Ankündigungsfrist von drei Monaten. Der Teilnehmer zahlt für jedes im Rahmen der Beendigung der Teilnahme geschlossene Konto ein zusätzliches Strafentgelt in Höhe von 1 000 EUR. Diese Abhilfemaßnahme kann auferlegt werden, wenn der Teilnehmer die gravierende Nichteinhaltung nicht innerhalb von drei Monaten nach der Suspendierung zur Zufriedenheit der [Name der Zentralbank einfügen] behoben hat. (5) Teilnehmer, die Dritten Zugang zu ihrem PM-Konto gemäß Artikel 5 Absätze 2, 3 und 4 gewähren, tragen dem mit der Erlaubnis eines solchen Zugangs verbundenen Risiko im Einklang mit den in den Absätzen 1 bis 4e dieses Artikels genannten Sicherheitsanforderungen Rechnung. In der in Absatz 4 genannten Selbstzertifizierung ist festgelegt, dass der Teilnehmer Dritte, die Zugang zu seinem PM-Konto haben, zur Einhaltung der Endpunktsicherheitsanforderungen des TARGET2-Netzwerkdienstleisters verpflichtet.“