3 straipsnis. Dideli incidentai

1. Taikant Direktyvos (ES) 2022/2555 23 straipsnio 3 dalį, su atitinkamu subjektu susijęs incidentas laikomas dideliu, jei atitinka vieną ar daugiau iš šių kriterijų:

a) dėl incidento atitinkamas subjektas patyrė arba gali patirti tiesioginių finansinių nuostolių, kurių suma viršija mažesniąją iš šių sumų: 500 000 EUR arba 5 % ankstesnių finansinių metų bendros metinės atitinkamo subjekto apyvartos;

b) dėl incidento buvo arba gali būti išgautos atitinkamo subjekto komercinės paslaptys, apibrėžtos Direktyvos (ES) 2016/943 2 straipsnio 1 punkte;

c) dėl incidento mirė arba gali mirti fizinis asmuo;

d) dėl incidento fizinis asmuo patyrė arba gali patirti didelę žalą sveikatai;

e) prie tinklų ir informacinių sistemų įgyta sėkminga, kaip įtariama, piktavališka ir neteisėta prieiga, kuria naudojantis galima smarkiai sutrikdyti veiklą;

f) incidentas atitinka 4 straipsnyje nustatytus kriterijus;

g) incidentas atitinka vieną ar daugiau iš 5–14 straipsniuose nustatytų kriterijų.

2. Planiniai paslaugos teikimo pertrūkiai ir numatyti techninės priežiūros operacijų, atliekamų atitinkamų subjektų arba jų vardu, padariniai dideliais incidentais nelaikomi.

3. 7 straipsnio ir 9–14 straipsnių taikymo tikslais apskaičiuodami incidento paveiktų naudotojų skaičių, atitinkami subjektai atsižvelgia į visus šiuos elementus:

a) skaičių klientų, sudariusių su atitinkamu subjektu sutartį, suteikiančią jiems prieigą prie atitinkamo subjekto tinklų ir informacinių sistemų arba per tas tinklų ir informacines sistemas teikiamų ar prieinamų paslaugų;

b) skaičių fizinių ir juridinių asmenų, susijusių su verslo klientais, besinaudojančiais subjektų tinklų ir informacinėmis sistemomis arba per tas tinklų ir informacines sistemas teikiamomis ar prieinamomis paslaugomis.