Artykuł 3

1. Incydent uznaje się za poważny do celów art. 23 ust. 3 dyrektywy (UE) 2022/2555 w odniesieniu do odpowiednich podmiotów, jeżeli spełnione jest co najmniej jedno z następujących kryteriów:

a) incydent spowodował lub może spowodować stratę finansową dla odpowiedniego podmiotu, która przekracza 500 000 EUR lub 5 % całkowitego rocznego obrotu danego podmiotu w poprzednim roku obrotowym, w zależności od tego, która z tych wartości jest niższa;

b) incydent spowodował lub może spowodować wyciek tajemnic przedsiębiorstwa, jak określono w art. 2 pkt 1 dyrektywy (UE) 2016/943, odpowiedniego podmiotu;

c) incydent spowodował lub może spowodować śmierć osoby fizycznej;

d) incydent spowodował lub może spowodować znaczny uszczerbek na zdrowiu osoby fizycznej;

e) miał miejsce skuteczny, prawdopodobnie złośliwy i nieuprawniony dostęp do sieci i systemów informatycznych, który może spowodować poważne zakłócenia operacyjne;

f) incydent spełnia kryteria określone w art. 4;

g) incydent spełnia co najmniej jedno z kryteriów określonych w art. 5–14.

2. Nie uznaje się za poważne incydenty zaplanowanych przerw w świadczeniu usług i zaplanowanych skutków zaplanowanych prac konserwacyjnych przeprowadzanych przez odpowiednie podmioty lub w ich imieniu.

3. Przy obliczaniu liczby użytkowników dotkniętych incydentem do celów art. 7 i art. 9–14 odpowiednie podmioty uwzględniają wszystkie poniższe elementy:

a) liczbę klientów, którzy zawarli z odpowiednim podmiotem umowę przyznającą im dostęp do sieci i systemów informatycznych odpowiedniego podmiotu lub usług oferowanych przez te sieci i systemy informatyczne lub dostępnych za ich pośrednictwem;

b) liczbę osób fizycznych i prawnych związanych z klientami biznesowymi, którzy korzystają z sieci i systemów informatycznych podmiotów lub z usług oferowanych przez te sieci i systemy informatyczne lub dostępnych za ich pośrednictwem.