Source: OJ L, 2024/2690, 18.10.2024Current language: SV
- High common level of cybersecurity for entities
Implementing acts
- Cybersecurity measures and significant incidents for relevant entities
Artikel 4 Återkommande incidenter
Summary What does Article 4 of the Cybersecurity measures and significant incidents for relevant entities say?
This article establishes an important aggregation rule that directly extends the significance thresholds set out in Article 3.
Where individual incidents would not qualify as significant on their own, Article 4 provides that they can be treated collectively as a single significant incident if certain conditions are met together.
It is essentially a safeguard against repeated low-level incidents being overlooked simply because no single occurrence crosses the reporting threshold.
Important points:
- Relevant entities must treat multiple individually non-significant incidents as one significant incident if all three cumulative conditions are satisfied simultaneously.
- The three conditions are: the incidents occurred at least twice within 6 months, share the same apparent root cause, and collectively meet the financial impact threshold in Article 3(1)(a).
- All three criteria must be met together — this is a conjunctive test, not a disjunctive one.
Springlex's summary of the article, a reading aid, not a substitute for the legal text.
Incidenter som var för sig inte anses som en betydande incident i den mening som avses i artikel 3 ska kollektivt anses som en betydande incident om samtliga följande kriterier är uppfyllda:
De har inträffat minst två gånger inom sex månader.
De verkar ha samma grundorsak.
De uppfyller kollektivt kriterierna i artikel 3.1 a.
Relevant recitals
Skäl 40 Recurring incidents
Återkommande incidenter som hänger samman på grund av samma uppenbara grundorsak och som individuellt inte uppfyller kriterierna för en betydande incident bör kollektivt anses som en betydande incident om de kollektivt uppfyller kriteriet för ekonomiska förluster och de har inträffat minst två gånger på sex månader. Sådana återkommande incidenter kan tyda på betydande brister och svagheter i den berörda entitetens riskhanteringsförfaranden för cybersäkerhet och deras cybersäkerhetsmognadsgrad. Sådana återkommande incidenter kan dessutom orsaka den berörda entiteten betydande ekonomiska förluster.
Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.
Definition
cybersäkerhet
(En. cybersecurity)
Definition
entitet
(En. entity)
Definition
incident
Definition
nätverks- och informationssystem
(En. network and information system)
- Ett elektroniskt kommunikationsnät enligt definitionen i artikel 2.1 i direktiv (EU) 2018/1972.
- En enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av digitala uppgifter.
- Digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av leden a och b för att de ska kunna drivas, användas, skyddas och underhållas.