02024R1366 — DE — 14.09.2025 — 001.003
Dieser Text dient lediglich zu Informationszwecken und hat keine Rechtswirkung. Die EU-Organe übernehmen keine Haftung für seinen Inhalt. Verbindliche Fassungen der betreffenden Rechtsakte einschließlich ihrer Präambeln sind nur die im Amtsblatt der Europäischen Union veröffentlichten und auf EUR-Lex verfügbaren Texte. Diese amtlichen Texte sind über die Links in diesem Dokument unmittelbar zugänglich
|
DELEGIERTE VERORDNUNG (EU) 2024/1366 DER KOMMISSION vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse (Text von Bedeutung für den EWR) (ABl. L 1366 vom 24.5.2024, S. 1) |
Geändert durch:
|
|
|
Amtsblatt |
||
|
Nr. |
Seite |
Datum |
||
|
DELEGIERTE VERORDNUNG (EU) 2025/1759 DER KOMMISSION vom 19. Juni 2025 |
L 1759 |
1 |
25.8.2025 |
|
Berichtigt durch:
|
Berichtigung, ABl. L 90383 vom 19.5.2026, S. 1 ((EU) 2024/13662024/1366) |
DELEGIERTE VERORDNUNG (EU) 2024/1366 DER KOMMISSION
vom 11. März 2024
zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse
(Text von Bedeutung für den EWR)
KAPITEL I
ALLGEMEINE BESTIMMUNGEN
Artikel 1
Gegenstand
Diese Verordnung enthält einen Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse, einschließlich Vorschriften über gemeinsame Mindestanforderungen, Planung, Beobachtung, Berichterstattung und die Krisenbewältigung.
Artikel 2
Anwendungsbereich
Diese Verordnung gilt für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse bei den Tätigkeiten der folgenden Einrichtungen, soweit diese gemäß Artikel 24 als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft werden:
Elektrizitätsunternehmen im Sinne des Artikels 2 Nummer 57 der Richtlinie (EU) 2019/944;
nominierte Strommarktbetreiber (NEMOs) im Sinne des Artikels 2 Nummer 8 der Verordnung (EU) 2019/943;
organisierte Marktplätze oder organisierte Märkte im Sinne des Artikels 2 Nummer 4 der Durchführungsverordnung (EU) Nr. 1348/2014 der Kommission ( 1 ), die Transaktionen mit Produkten arrangieren, die für grenzüberschreitende Stromflüsse relevant sind;
Anbieter kritischer IKT-Dienste im Sinne des Artikels 3 Nummer 9 dieser Verordnung;
ENTSO-E, das gemäß Artikel 28 der Verordnung (EU) 2019/943 eingerichtet wurde;
die EU-VNBO, die gemäß Artikel 52 der Verordnung (EU) 2019/943 eingerichtet wurde;
Bilanzkreisverantwortliche im Sinne des Artikels 2 Nummer 14 der Verordnung (EU) 2019/943;
Betreiber von Ladepunkten im Sinne des Anhangs I der Richtlinie (EU) 2022/2555;
regionale Koordinierungszentren (RCC) gemäß Artikel 35 der Verordnung (EU) 2019/943;
Anbieter verwalteter Sicherheitsdienste (MSSP) gemäß Artikel 6 Nummer 40 der Richtlinie (EU) 2022/2555;
alle sonstigen Einrichtungen oder Dritte, denen gemäß dieser Verordnung Zuständigkeiten übertragen oder zugewiesen werden.
Die folgenden Behörden sind im Rahmen ihres derzeitigen Auftrags für die Wahrnehmung der in dieser Verordnung festgelegten Aufgaben zuständig:
die mit der Verordnung (EU) 2019/942 des Europäischen Parlaments und des Rates ( 2 ) eingerichtete Agentur der Europäischen Union für die Zusammenarbeit der Energieregulierungsbehörden (ACER);
die nationalen zuständigen Behörden, die für die Wahrnehmung der ihnen gemäß dieser Verordnung übertragenen Aufgaben verantwortlich sind und von den Mitgliedstaaten gemäß Artikel 4 als „zuständige Behörde“ benannt wurden;
die gemäß Artikel 57 Absatz 1 der Richtlinie (EU) 2019/944 benannten nationalen Regulierungsbehörden (NRB) der einzelnen Mitgliedstaaten;
die gemäß Artikel 3 der Verordnung (EU) 2019/941 benannten für die Risikovorsorge zuständigen Behörden (RP-NCA);
die gemäß Artikel 10 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten Computer-Notfallteams (CSIRTs);
die gemäß Artikel 8 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten für die Cybersicherheit zuständigen Behörden (CS-NCA);
die gemäß der Verordnung (EU) 2019/881 errichtete Agentur der Europäischen Union für Cybersicherheit;
alle sonstigen Behörden oder Dritte, denen gemäß Artikel 4 Absatz 3 Zuständigkeiten übertragen oder zugewiesen werden.
Artikel 3
Begriffsbestimmungen
Es gelten die folgenden Begriffsbestimmungen:
„Vermögenswert“ bezeichnet alle Informationen sowie jede Software oder Hardware, gleich ob materieller oder immaterieller Art, in Netz- und Informationssystemen, die für eine natürliche Person, eine Organisation oder eine Regierung von Wert sind;
„für die Risikovorsorge zuständige Behörde“ bezeichnet die gemäß Artikel 3 der Verordnung (EU) 2019/941 benannte zuständige Behörde;
„Computer-Notfallteam“ bezeichnet ein gemäß Artikel 10 der Richtlinie (EU) 2022/2555 für die Bewältigung von Risiken und Sicherheitsvorfällen zuständiges Team;
„Vermögenswert mit kritischen Auswirkungen“ bezeichnet einen Vermögenswert, der für die Durchführung eines Prozesses mit kritischen Auswirkungen erforderlich ist;
„Einrichtung mit kritischen Auswirkungen“ bezeichnet eine Einrichtung, die einen Prozess mit kritischen Auswirkungen durchführt und von den zuständigen Behörden gemäß Artikel 24 bestimmt wird;
„Perimeter mit kritischen Auswirkungen“ bezeichnet einen von einer in Artikel 2 Absatz 1 genannten Einrichtung definierten Perimeter, der alle Vermögenswerte mit kritischen Auswirkungen umfasst und in dem der Zugang zu diesen Vermögenswerten kontrolliert werden kann und der den Anwendungsbereich bestimmt, in dem die erweiterten Cybersicherheitskontrollen anzuwenden sind;
„Prozess mit kritischen Auswirkungen“ bezeichnet einen Geschäftsprozess einer Einrichtung, dessen Indizes für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor über dem Schwellenwert für kritische Auswirkungen liegen;
„Schwellenwert für kritische Auswirkungen“ bezeichnet die Werte der in Artikel 19 Absatz 3 Buchstabe b genannten Indizes für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor, bei deren Überschreitung ein Cyberangriff auf einen Geschäftsprozess zu einer kritischen Störung grenzüberschreitender Stromflüsse führt;
„Anbieter kritischer IKT-Dienste“ bezeichnet eine Einrichtung, die einen IKT-Dienst oder einen IKT-Prozess bereitstellt, der für einen Prozess mit kritischen oder erheblichen Auswirkungen, der sich auf Cybersicherheitsaspekte grenzüberschreitender Stromflüsse auswirkt, erforderlich ist und bei dessen Kompromittierung ein Cyberangriff erfolgen könnte, dessen Auswirkungen den Schwellenwert für kritische oder erhebliche Auswirkungen überschreiten;
„grenzüberschreitender Stromfluss“ bezeichnet einen grenzüberschreitenden Stromfluss im Sinne des Artikels 2 Nummer 3 der Verordnung (EU) 2019/943;
„Cyberangriff“ bezeichnet einen Vorfall im Sinne des Artikels 3 Nummer 14 der Verordnung (EU) 2022/2554;
„Cybersicherheit“ bezeichnet Cybersicherheit im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) 2019/881;
„Cybersicherheitskontrolle“ bezeichnet die zur Vermeidung, Erkennung, Bekämpfung oder Minimierung von Cybersicherheitsrisiken durchgeführten Maßnahmen oder Verfahren;
„Cybersicherheitsvorfall“ bezeichnet einen Vorfall im Sinne des Artikels 6 Nummer 6 der Richtlinie (EU) 2022/2555;
„Cybersicherheitsmanagementsystem“ bezeichnet die Konzepte, Verfahren, Leitlinien sowie die damit verbundenen Ressourcen und Tätigkeiten, die von einer Einrichtung insgesamt verwaltet werden, um ihre Informationsressourcen vor Cyberbedrohungen zu schützen, wobei die Sicherheit der Netz- und Informationssysteme einer Organisation systematisch bestimmt, umgesetzt, betrieben, überwacht, überprüft, aufrechterhalten und verbessert wird;
„Betriebszentrum für Cybersicherheit“ bezeichnet ein spezielles Zentrum, in dem ein aus einem oder mehreren Sachverständigen bestehendes technisches Team mithilfe von IT-Systemen für Cybersicherheit sicherheitsbezogene Aufgaben (Dienste von Cybersicherheits-Betriebszentren, CSOC-Dienste) wahrnimmt, wie z. B. den Umgang mit Cyberangriffen und Fehlern bei der Sicherheitskonfiguration, Sicherheitsüberwachung, Protokollanalyse und die Erkennung von Cyberangriffen;
„Cyberbedrohung“ bezeichnet eine Cyberbedrohung im Sinne des Artikels 2 Nummer 8 der Verordnung (EU) 2019/881;
„Schwachstellenmanagement im Bereich der Cybersicherheit“ bezeichnet die Praxis, Schwachstellen zu ermitteln und zu beheben;
„Einrichtung“ bezeichnet eine Einrichtung im Sinne des Artikels 6 Nummer 38 der Richtlinie (EU) 2022/2555;
„Frühwarnung“ bezeichnet die erforderliche Unterrichtung, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte;
„Index für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor“ (ECII) bezeichnet einen Index oder eine Klassifizierungsskala, mit dem/der die möglichen Folgen von Cyberangriffen auf Geschäftsprozesse im Zusammenhang mit grenzüberschreitenden Stromflüssen eingestuft werden;
„europäisches Schema für die Cybersicherheitszertifizierung“ bezeichnet ein Schema im Sinne des Artikels 2 Nummer 9 der Verordnung (EU) 2019/881;
„Einrichtung mit erheblichen Auswirkungen“ bezeichnet eine Einrichtung, die einen Prozess mit erheblichen Auswirkungen durchführt und von den zuständigen Behörden gemäß Artikel 24 ermittelt wird;
„Prozess mit erheblichen Auswirkungen“ bezeichnet jeden Geschäftsprozess einer Einrichtung, dessen Indizes für die Auswirkungen von Cybersicherheitsvorfällen im Elektrizitätssektor über den Schwellenwerten für erhebliche Auswirkungen liegen;
„Vermögenswert mit erheblichen Auswirkungen“ bezeichnet einen Vermögenswert, der für die Durchführung eines Prozesses mit erheblichen Auswirkungen erforderlich ist;
„Schwellenwert für erhebliche Auswirkungen“ bezeichnet die Werte der in Artikel 19 Absatz 3 Buchstabe b genannten Indizes für die Auswirkungen von Cybersicherheitsvorfällen im Elektrizitätssektor, bei deren Überschreitung ein erfolgreich durchgeführter Cyberangriff auf einen Prozess zu einer erheblichen Störung grenzüberschreitender Stromflüsse führt;
„Perimeter mit erheblichen Auswirkungen“ bezeichnet einen von einer der in Artikel 2 Absatz 1 aufgeführten Einrichtungen definierten Perimeter, der alle Vermögenswerte mit erheblichen Auswirkungen umfasst und in dem der Zugang zu diesen Vermögenswerten kontrolliert werden kann und der den Anwendungsbereich bestimmt, in dem die Mindestsicherheitskontrollen anzuwenden sind;
„IKT-Produkt“ bezeichnet ein IKT-Produkt im Sinne des Artikels 2 Nummer 12 der Verordnung (EU) 2019/881;
„IKT-Dienst“ bezeichnet einen IKT-Dienst im Sinne des Artikels 2 Nummer 13 der Verordnung (EU) 2019/881;
„IKT-Prozess“ bezeichnet einen IKT-Prozess im Sinne des Artikels 2 Nummer 14 der Verordnung (EU) 2019/881;
„Altsystem“ bezeichnet ein IKT-Altsystem im Sinne des Artikels 3 Nummer 3 der Verordnung (EU) 2022/2554;
„nationale zentrale Anlaufstelle“ bezeichnet die von jedem Mitgliedstaat gemäß Artikel 8 Absatz 3 der Richtlinie (EU) 2022/2555 benannte oder eingerichtete zentrale Anlaufstelle;
„NIS-Behörden für das Cyberkrisenmanagement“ bezeichnet die gemäß Artikel 9 Absatz 1 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten Behörden;
„Urheber“ bezeichnet eine Einrichtung, die einen Informationsaustausch, eine Informationsübermittlung oder die Speicherung von Informationen einleitet;
„Spezifikationen für die Auftragsvergabe“ bezeichnet die von Einrichtungen für die Beschaffung neuer oder aktualisierter IKT-Produkte, -Prozesse oder -Dienste festgelegten Spezifikationen;
„Vertreter“ bezeichnet eine in der Union niedergelassene natürliche oder juristische Person, die ausdrücklich dafür benannt wurde, im Namen einer Einrichtung mit erheblichen oder kritischen Auswirkungen, die nicht in der Union niedergelassen ist, aber Dienstleistungen für Einrichtungen in der Union erbringt, zu handeln, und an die sich eine zuständige Behörde oder ein CSIRT — statt an die Einrichtung mit erheblichen oder kritischen Auswirkungen — in Bezug auf die in dieser Verordnung festgelegten Verpflichtungen dieser Einrichtung wenden kann;
„Risiko“ bezeichnet ein Risiko im Sinne des Artikels 6 Nummer 9 der Richtlinie (EU) 2022/2555;
„Risiko-Auswirkungs-Matrix“ bezeichnet eine Matrix, die bei der Risikobewertung genutzt wird, um für jedes bewertete Risiko die mit ihm verbundenen Auswirkungen zu bestimmen;
„zeitgleich auftretende Stromversorgungskrise“ bezeichnet eine Stromversorgungskrise im Sinne des Artikels 2 Nummer 10 der Verordnung (EU) 2019/941;
„zentrale Anlaufstelle auf Ebene der Einrichtung“ bezeichnet eine zentrale Anlaufstelle bei der Einrichtung gemäß Artikel 38 Absatz 1 Buchstabe c;
„Interessenträger“ bezeichnet jede Partei, die am Erfolg und laufenden Betrieb einer Organisation oder eines Prozesses beteiligt ist, wie z. B. Beschäftigte, Direktoren, Anteilseigner, Regulierungsbehörden, Verbände, Lieferanten und Kunden;
„Norm“ bezeichnet eine Norm im Sinne des Artikels 2 Nummer 1 Buchstabe c der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates ( 3 );
„Netzbetriebsregion“ bezeichnet die gemäß Artikel 36 der Verordnung (EU) 2019/943 festgelegten Netzbetriebsregionen, die in Anhang I der Entscheidung 05-2022 der ACER über die Definition der Netzbetriebsregionen bestimmt wurden;
„Netzbetreiber“ bezeichnet „Verteilernetzbetreiber“ (VNB) und „Übertragungsnetzbetreiber“ (ÜNB) im Sinne des Artikels 2 Nummer 29 bzw. Nummer 35 der Richtlinie (EU) 2019/944;
„unionsweiter Prozess mit kritischen Auswirkungen“ bezeichnet jeden Prozess im Elektrizitätssektor, an dem mehrere Einrichtungen beteiligt sein können und bei dem die möglichen Auswirkungen eines Cyberangriffs bei der Durchführung der unionsweiten Bewertung des Cybersicherheitsrisikos für kritisch erachtet werden können;
„unionsweiter Prozess mit erheblichen Auswirkungen“ bezeichnet jeden Prozess im Elektrizitätssektor, an dem mehrere Einrichtungen beteiligt sein können und bei dem die möglichen Auswirkungen eines Cyberangriffs bei der Durchführung der unionsweiten Bewertung des Cybersicherheitsrisikos für erheblich erachtet werden können;
„aktiv ausgenutzte Schwachstelle ohne Patch“ bezeichnet eine noch nicht öffentlich bekannt gegebene und noch nicht mit einem Patch versehene Schwachstelle, in Bezug auf die verlässliche Nachweise dafür vorliegen, dass ein Akteur ohne Zustimmung des Systemeigners einen schädlichen Programmcode in einem System ausgeführt hat;
„Schwachstelle“ bezeichnet eine Schwachstelle im Sinne des Artikels 6 Nummer 15 der Richtlinie (EU) 2022/2555.
Artikel 4
Zuständige Behörde
Artikel 5
Zusammenarbeit zwischen den zuständigen Behörden und Stellen auf nationaler Ebene
Die zuständigen Behörden koordinieren und gewährleisten eine angemessene Zusammenarbeit zwischen den für Cybersicherheit zuständigen Behörden, den Behörden für das Cyberkrisenmanagement, den NRB, den für die Risikovorsorge zuständigen Behörden und den CSIRTs im Hinblick auf die Erfüllung der in dieser Verordnung festgelegten einschlägigen Verpflichtungen. Zudem stimmen sich die zuständigen Behörden mit anderen von den einzelnen Mitgliedstaaten bestimmten Stellen oder Behörden ab, um effiziente Verfahren sicherzustellen und Überschneidungen von Aufgaben und Pflichten zu vermeiden. Die zuständigen Behörden können die jeweiligen NRB anweisen, die ACER gemäß Artikel 8 Absatz 3 um eine Stellungnahme zu ersuchen.
Artikel 6
Modalitäten oder Methoden oder Pläne
Die folgenden Modalitäten oder Methoden und etwaige Änderungen dieser Modalitäten oder Methoden bedürfen der Genehmigung aller zuständigen Behörden:
die Methoden zur Bewertung des Cybersicherheitsrisikos gemäß Artikel 18 Absatz 1;
der umfassende Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gemäß Artikel 23;
die Mindest-Cybersicherheitskontrollen und die erweiterten Cybersicherheitskontrollen gemäß Artikel 29, der Vergleich der Cybersicherheitskontrollen im Elektrizitätssektor anhand von Normen gemäß Artikel 34, einschließlich Mindest-Cybersicherheitskontrollen und erweiterter Cybersicherheitskontrollen in der Lieferkette gemäß Artikel 33;
eine Empfehlung für die Cybersicherheit bei der Auftragsvergabe gemäß Artikel 35;
die Klassifizierungsmethode für Cyberangriffe gemäß Artikel 37 Absatz 8.
Artikel 7
Vorschriften für Abstimmungen der ÜNB
Können ÜNB bei der Entscheidung über Vorschläge für Modalitäten oder Methoden keine Einigung erzielen, so entscheiden sie mit qualifizierter Mehrheit. Die qualifizierte Mehrheit für diese Vorschläge wird wie folgt berechnet:
ÜNB, die mindestens 55 % der Mitgliedstaaten vertreten, und
ÜNB, die Mitgliedstaaten vertreten, die mindestens 65 % der Bevölkerung der Union umfassen.
►C1 Können ÜNB einer Netzbetriebsregion bei der Entscheidung über Vorschläge für die in Artikel 6 Absatz 3 genannten Pläne keine Einigung erzielen und besteht die betreffende Netzbetriebsregion aus mehr als fünf Mitgliedstaaten, so entscheiden die ÜNB mit qualifizierter Mehrheit. Bei Vorschlägen gemäß Artikel 6 Absatz 2 ist für eine qualifizierte Mehrheit folgende Mehrheit erforderlich: ◄
ÜNB, die mindestens 72 % der betroffenen Mitgliedstaaten vertreten, und
ÜNB, die Mitgliedstaaten vertreten, die mindestens 65 % der Bevölkerung der betroffenen Region umfassen.
Artikel 8
Einreichung von Vorschlägen bei den zuständigen Behörden
Artikel 9
Konsultationen
Artikel 10
Einbeziehung der Interessenträger
Die ACER organisiert in enger Zusammenarbeit mit ENTSO-E und der EU-VNBO die Einbeziehung der Interessenträger, einschließlich regelmäßiger Treffen mit Interessenträgern, um Probleme zu ermitteln und Verbesserungen im Zusammenhang mit der Durchführung dieser Verordnung vorzuschlagen.
Artikel 11
Kostenerstattung
Artikel 12
Überwachung
Die ACER veröffentlicht nach dem Inkrafttreten dieser Verordnung mindestens alle drei Jahre einen Bericht, um
den Stand der Umsetzung der anwendbaren Risikomanagementmaßnahmen im Bereich der Cybersicherheit durch Einrichtungen mit erheblichen Auswirkungen und Einrichtungen mit kritischen Auswirkungen zu überprüfen;
zu ermitteln, ob zur Prävention von Risiken für den Elektrizitätssektor zusätzliche Vorschriften über gemeinsame Anforderungen, Planung, Beobachtung, Berichterstattung und Krisenbewältigung erforderlich sein könnten, und
Verbesserungsbedarf für die Überarbeitung dieser Verordnung zu bestimmen oder nicht abgedeckte Bereiche und neue Prioritäten zu ermitteln, die sich aufgrund technischer Entwicklungen ergeben können.
Artikel 13
Benchmarking
Innerhalb von 12 Monaten nach Erstellung des Benchmarking-Leitfadens gemäß Absatz 1 führen die NRB eine Benchmarking-Analyse durch, um zu bewerten, ob die aktuellen Investitionen in die Cybersicherheit
Risiken mit Auswirkungen auf grenzüberschreitende Stromflüsse mindern;
zu den gewünschten Ergebnissen führen und die Effizienz bei der Entwicklung des Elektrizitätssystems verbessern;
effizient sind und in die allgemeine Auftragsvergabe für Vermögenswerte und Dienstleistungen integriert werden.
Bei der Benchmarking-Analyse können die NRB den von der ACER erstellten unverbindlichen Leitfaden für das Benchmarking im Bereich der Cybersicherheit berücksichtigen, wobei sie insbesondere Folgendes bewerten:
die durchschnittlichen Ausgaben für die Cybersicherheit zur Minderung von Risiken, die sich auf grenzüberschreitende Stromflüsse auswirken, insbesondere bei Einrichtungen mit erheblichen oder kritischen Auswirkungen;
in Zusammenarbeit mit ENTSO-E und der EU-VNBO die Durchschnittspreise für Cybersicherheitsdienste, -systeme und -produkte, die in hohem Maß zur Verbesserung und Aufrechterhaltung der Risikomanagementmaßnahmen im Bereich der Cybersicherheit in den verschiedenen Netzbetriebsregionen beitragen;
das Vorhandensein von Cybersicherheitsdiensten, -systemen und -lösungen, die sich für die Durchführung dieser Verordnung eignen, sowie die Vergleichbarkeit der damit verbundenen Kosten und Funktionen, wobei sie mögliche Maßnahmen ermitteln, die zur Verbesserung der Effizienz der Ausgaben erforderlich sind, insbesondere wenn Investitionen in die Cybersicherheitstechnik erforderlich sein könnten.
Artikel 14
Vereinbarungen mit ÜNB von Drittländern
Artikel 15
Gesetzlicher Vertreter
Artikel 16
Zusammenarbeit zwischen ENTSO-E und der EU-VNBO
ENTSO-E und die EU-VNBO arbeiten bei der Durchführung der Bewertungen des Cybersicherheitsrisikos gemäß Artikel 19 und Artikel 21 zusammen, insbesondere bei den folgenden Aufgaben:
Entwicklung der Methoden zur Bewertung des Cybersicherheitsrisikos gemäß Artikel 18 Absatz 1;
Erstellung des umfassenden Berichts über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gemäß Artikel 23;
Entwicklung des gemeinsamen Rahmens für die Cybersicherheit im Elektrizitätssektor gemäß Kapitel III;
Erstellung der Empfehlung für die Cybersicherheit bei der Auftragsvergabe gemäß Artikel 35;
Entwicklung der Klassifizierungsmethode für Cyberangriffe gemäß Artikel 37 Absatz 8;
Entwicklung des vorläufigen Index für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor (ECII) gemäß Artikel 48 Absatz 1 Buchstabe a;
Erstellung der konsolidierten vorläufigen Liste der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 48 Absatz 3;
Erstellung der vorläufigen Liste der unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen gemäß Artikel 48 Absatz 4;
Erstellung der vorläufigen Liste europäischer und internationaler Normen und Kontrollen gemäß Artikel 48 Absatz 6;
Durchführung der unionsweiten Bewertung des Cybersicherheitsrisikos gemäß Artikel 19;
Durchführung der regionalen Bewertung des Cybersicherheitsrisikos gemäß Artikel 21;
Festlegung der regionalen Pläne zur Minderung des Cybersicherheitsrisikos gemäß Artikel 22;
Entwicklung von Leitlinien für europäische Schemata für die Cybersicherheitszertifizierung von IKT-Produkten, -Diensten und -Prozessen gemäß Artikel 36;
Entwicklung von Leitlinien für die Durchführung dieser Verordnung, in Absprache mit der ACER und der ENISA.
Artikel 17
Zusammenarbeit zwischen der ACER und den zuständigen Behörden
Die ACER überwacht in Zusammenarbeit mit jeder zuständigen Behörde
die Umsetzung der Risikomanagementmaßnahmen im Bereich der Cybersicherheit gemäß Artikel 12 Absatz 2 Buchstabe a und der Berichterstattungspflichten gemäß den Artikeln 27 und 39 sowie
das Verfahren zur Annahme der Modalitäten, Methoden oder Pläne gemäß Artikel 6 Absätze 2 und 3 und deren Umsetzung. Die Zusammenarbeit zwischen der ACER, der ENISA und jeder zuständigen Behörde kann über ein Gremium zur Überwachung von Cybersicherheitsrisiken erfolgen.
KAPITEL II
RISIKOBEWERTUNG UND ERMITTLUNG DER RELEVANTEN CYBERSICHERHEITSRISIKEN
Artikel 18
Methoden zur Bewertung des Cybersicherheitsrisikos
Die Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf der Ebene der Mitgliedstaaten müssen Folgendes umfassen:
eine Liste der zu berücksichtigenden Cyberbedrohungen, einschließlich mindestens der folgenden Bedrohungen der Lieferkette:
schwere und unerwartete Kompromittierung der Lieferkette;
Nichtverfügbarkeit von IKT-Produkten, -Diensten oder -Prozessen aus der Lieferkette;
über Akteure in der Lieferkette ausgelöste Cyberangriffe;
Weitergabe sensibler Informationen entlang der Lieferkette, einschließlich der Nachverfolgung der Lieferkette;
Einführung von Schwachstellen oder Hintertüren in IKT-Produkten, -Diensten oder Prozessen über Akteure in der Lieferkette;
die Kriterien für die Einstufung der Auswirkungen von Cybersicherheitsrisiken als erheblich oder kritisch, wobei festgelegte Schwellenwerte für deren Folgen und Wahrscheinlichkeit zu nutzen sind;
einen Ansatz zur Analyse der Cybersicherheitsrisiken, die sich aus Altsystemen, den Kaskadeneffekten von Cyberangriffen und dem Echtzeitcharakter der Netzbetriebssysteme ergeben;
einen Ansatz zur Analyse der Cybersicherheitsrisiken, die sich aus der Abhängigkeit von einem einzigen Anbieter von IKT-Produkten, -Diensten oder -Prozessen ergeben.
Die Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf der Ebene der Mitgliedstaaten müssen dieselbe Risiko-Auswirkungs-Matrix umfassen. Mit der Risiko-Auswirkungs-Matrix
werden die Folgen von Cyberangriffen anhand folgender Kriterien gemessen:
Lastverlust;
Verringerung der Stromerzeugung;
Kapazitätsverlust in der primären Frequenzreserve;
Verlust von Kapazitäten für die Wiederherstellung des Betriebs eines Stromnetzes ohne Rückgriff auf das externe Übertragungsnetz nach einer vollständigen oder teilweisen Abschaltung („Schwarzstart“);
voraussichtliche Dauer eines Stromausfalls mit Auswirkungen auf die Kunden in Verbindung mit dem Ausmaß des Ausfalls (nach Zahl der Kunden) und
alle sonstigen quantitativen oder qualitativen Kriterien, die als sinnvolle Indikatoren für die Auswirkungen eines Cyberangriffs auf grenzüberschreitende Stromflüsse dienen könnten;
wird die Wahrscheinlichkeit eines Vorfalls als Häufigkeit der Cyberangriffe pro Jahr gemessen.
Artikel 19
Unionsweite Bewertung des Cybersicherheitsrisikos
Der Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos muss Folgendes enthalten:
die unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen;
eine Risiko-Auswirkungs-Matrix, die Einrichtungen und die zuständigen Behörden nutzen müssen, um die Cybersicherheitsrisiken zu bewerten, die in der Bewertung des Cybersicherheitsrisikos auf der Ebene der Mitgliedstaaten gemäß Artikel 20 und in der Bewertung des Cybersicherheitsrisikos auf der Ebene von Einrichtungen gemäß Artikel 26 Absatz 2 Buchstabe b ermittelt wurden.
In Bezug auf die unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen muss der Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos Folgendes enthalten:
eine Bewertung der möglichen Folgen eines Cyberangriffs anhand der Parameter, die in der gemäß Artikel 18 Absätze 2, 3 und 4 entwickelten und gemäß Artikel 8 genehmigten Methode zur Bewertung des Cybersicherheitsrisikos festgelegt sind;
den ECII und die Schwellenwerte für erhebliche und kritische Auswirkungen, die die zuständigen Behörden gemäß Artikel 24 Absätze 1 und 2 nutzen müssen, um Einrichtungen mit erheblichen oder kritischen Auswirkungen zu ermitteln, die an unionsweiten Prozessen mit erheblichen bzw. kritischen Auswirkungen beteiligt sind.
Artikel 20
Bewertung des Cybersicherheitsrisikos der Mitgliedstaaten
Innerhalb von 21 Monaten nach der Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6 und danach alle drei Jahre übermittelt jede zuständige Behörde mit Unterstützung des CSIRT und nach Konsultation der für Elektrizität zuständigen CS-NCA dem ENTSO-E und der EU-VNBO einen Bericht über die Bewertung des Cybersicherheitsrisikos des Mitgliedstaats, der in Bezug auf jeden Geschäftsprozess mit erheblichen oder kritischen Auswirkungen folgende Informationen enthält:
den Stand der Umsetzung der Mindest-Cybersicherheitskontrollen und der erweiterten Cybersicherheitskorntrollen gemäß Artikel 29;
eine Liste aller in den letzten drei Jahren gemäß Artikel 38 Absatz 3 gemeldeten Cyberangriffe;
eine Zusammenfassung aller in den letzten drei Jahren gemäß Artikel 38 Absatz 6 gemeldeten Informationen zu Cyberbedrohungen;
für jeden unionsweiten Prozess mit erheblichen oder kritischen Auswirkungen eine Schätzung der mit einer Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und relevanten Vermögenswerten verbundenen Risiken;
erforderlichenfalls eine Liste zusätzlicher Einrichtungen, die gemäß Artikel 24 Absätze 1, 2, 3 und 5 als Einrichtungen mit erheblichen oder kritischen Auswirkungen ermittelt wurden.
Artikel 21
Regionale Bewertungen des Cybersicherheitsrisikos
Artikel 22
Regionale Pläne zur Minderung des Cybersicherheitsrisikos
Die regionalen Pläne zur Minderung des Cybersicherheitsrisikos müssen Folgendes enthalten:
die Mindest-Cybersicherheitskontrollen und die erweiterten Cybersicherheitskontrollen, die die Einrichtungen mit erheblichen bzw. kritischen Auswirkungen in der Netzbetriebsregion anwenden müssen;
die verbleibenden Cybersicherheitsrisiken in den Netzbetriebsregionen nach Anwendung der unter Buchstabe a genannten Kontrollen.
Artikel 23
Umfassender Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse
Der umfassende Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse stützt sich auf den Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos, die Berichte der Mitgliedstaaten über die Bewertung des Cybersicherheitsrisikos und die Berichte über die regionale Bewertung des Cybersicherheitsrisikos und muss folgende Informationen enthalten:
die Liste der unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen, die im Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 2 Buchstabe a ermittelt wurden, einschließlich der Schätzung der Wahrscheinlichkeit und der Auswirkungen von Cybersicherheitsrisiken, die in den Berichten über die regionale Bewertung des Cybersicherheitsrisikos gemäß Artikel 21 Absatz 2 und Artikel 19 Absatz 3 Buchstabe a bewertet wurden;
aktuelle Cyberbedrohungen, insbesondere neu aufkommende Bedrohungen und Risiken für das Elektrizitätssystem;
Cyberangriffe im vorangegangenen Zeitraum auf Unionsebene mit einem kritischen Überblick darüber, wie sich diese Cyberangriffe auf grenzüberschreitende Stromflüsse ausgewirkt haben könnten;
allgemeiner Stand der Umsetzung der Cybersicherheitsmaßnahmen;
Stand der Umsetzung der Informationsflüsse gemäß den Artikeln 37 und 38;
Liste der Informationen oder spezifische Kriterien für die Klassifizierung von Informationen gemäß Artikel 46;
ermittelte und besonders zu beachtende Risiken, die sich aus einem unsicheren Lieferkettenmanagement ergeben können;
Ergebnisse der regionalen und überregionalen Cybersicherheitsübungen gemäß Artikel 44 und dabei insgesamt gewonnene Erfahrungen;
eine Analyse der Entwicklung des allgemeinen Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse seit den letzten regionalen Bewertungen des Cybersicherheitsrisikos;
alle sonstigen Informationen, die nützlich sein können, um mögliche Verbesserungen dieser Verordnung oder die Notwendigkeit einer Überarbeitung dieser Verordnung oder ihrer Instrumente zu ermitteln, sowie
aggregierte und anonymisierte Informationen über die gemäß Artikel 30 Absatz 3 gewährten Ausnahmen.
Artikel 24
Ermittlung von Einrichtungen mit erheblichen oder kritischen Auswirkungen
Jede zuständige Behörde kann weitere Einrichtungen in ihrem Mitgliedstaat als Einrichtungen mit erheblichen oder kritischen Auswirkungen einstufen, wenn die folgenden Kriterien erfüllt sind:
Die Einrichtung ist Teil einer Gruppe von Einrichtungen, für die ein erhebliches Risiko besteht, dass sie zeitgleich Ziel eines Cyberangriffs sein könnten;
der über die Gruppe von Einrichtungen aggregierte ECII liegt über dem Schwellenwert für erhebliche oder kritische Auswirkungen.
Artikel 25
Nationale Überprüfungssysteme
Beschließt eine zuständige Behörde, ein nationales Überprüfungssystem einzurichten, so stellt sie sicher, dass die Überprüfung nach den folgenden Anforderungen durchgeführt wird:
Jede Partei, die die Peer Review, das Audit oder die Inspektion durchführt, muss von der zu überprüfenden Einrichtung mit kritischen Auswirkungen unabhängig sein und darf sich nicht in einem Interessenkonflikt befinden;
das Personal, das die Peer Reviews, Audits oder Inspektionen durchführt, muss nachweislich Kenntnisse haben über
die Cybersicherheit im Elektrizitätssektor;
Cybersicherheitsmanagementsysteme;
Audit-Grundsätze;
die Bewertung von Cybersicherheitsrisiken;
den gemeinsamen Rahmen für die Cybersicherheit im Elektrizitätssektor;
den nationalen Rechts- und Verwaltungsrahmen sowie europäische und internationale Normen, die für die Überprüfung relevant sind;
die Prozesse mit kritischen Auswirkungen, die Gegenstand der Überprüfung sind;
die Partei, die die Peer Reviews, Audits oder Inspektionen durchführt, erhält ausreichend Zeit für die Durchführung dieser Tätigkeiten;
die Partei, die die Peer Reviews, Audits oder Inspektionen durchführt, ergreift geeignete Maßnahmen, um die bei der Überprüfung erhobenen Informationen im Einklang mit ihrem Vertraulichkeitsgrad zu schützen, und
Peer Reviews, Audits oder Inspektionen werden mindestens einmal jährlich durchgeführt und umfassen mindestens alle drei Jahre den gesamten Prüfumfang.
Artikel 26
Cybersicherheitsrisikomanagement auf Ebene der Einrichtungen
Jede Einrichtung mit erheblichen oder kritischen Auswirkungen stützt ihr Cybersicherheitsrisikomanagement auf einen Ansatz, der auf den Schutz ihrer Netz- und Informationssysteme abzielt und folgende Phasen umfasst:
Bestimmung des Kontexts;
Bewertung des Cybersicherheitsrisikos auf der Ebene der Einrichtung;
Behandlung von Cybersicherheitsrisiken;
Akzeptanz von Cybersicherheitsrisiken.
Bei der Bestimmung des Kontexts trifft jede Einrichtung mit erheblichen oder kritischen Auswirkungen folgende Maßnahmen:
Festlegung des Umfangs der Bewertung des Cybersicherheitsrisikos, einschließlich der von ENTSO-E und der EU-VNBO ermittelten Prozesse mit erheblichen oder kritischen Auswirkungen sowie anderer Prozesse, die Ziel von Cyberangriffen mit erheblichen oder kritischen Auswirkungen auf grenzüberschreitende Stromflüsse sein können, und
Festlegung der Kriterien für die Risikobewertung und die Risikoakzeptanz im Einklang mit der Risiko-Auswirkungs-Matrix, die Einrichtungen und die zuständigen Behörden nach den von ENTSO-E und der EU-VNBO gemäß Artikel 19 Absatz 2 entwickelten Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf Ebene der Mitgliedstaaten nutzen müssen, um Cybersicherheitsrisiken zu bewerten.
Bei der Bewertung des Cybersicherheitsrisikos muss jede Einrichtung mit erheblichen oder kritischen Auswirkungen
Cybersicherheitsrisiken unter Berücksichtigung folgender Aspekte ermitteln:
aller Vermögenswerte, die unionsweite Prozesse mit erheblichen oder kritischen Auswirkungen unterstützen, wobei die möglichen Auswirkungen auf grenzüberschreitende Stromflüsse für den Fall einer Kompromittierung des Vermögenswerts zu bewerten sind;
möglicher Cyberbedrohungen unter Berücksichtigung der Cyberbedrohungen, die im jüngsten umfassenden Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gemäß Artikel 23 ermittelt wurden, sowie Bedrohungen der Lieferkette;
Schwachstellen, einschließlich Schwachstellen in Altsystemen;
möglicher Szenarien von Cyberangriffen, einschließlich Cyberangriffen, die die Betriebssicherheit des Elektrizitätssystems beeinträchtigen und grenzüberschreitende Stromflüsse stören;
einschlägiger Risikobeurteilungen und -bewertungen auf Unionsebene, einschließlich koordinierter Risikobewertungen kritischer Lieferketten gemäß Artikel 22 der Richtlinie (EU) 2022/2555, und
bestehender umgesetzter Kontrollen;
die Wahrscheinlichkeit und Folgen der unter Buchstabe a genannten Cybersicherheitsrisiken analysieren und das Ausmaß des Cybersicherheitsrisikos anhand der Risiko-Auswirkungs-Matrix bestimmen, die in den von den ÜNB mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO gemäß Artikel 19 Absatz 2 entwickelten Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf Ebene der Mitgliedstaaten genutzt wird, um Cybersicherheitsrisiken zu bewerten;
Vermögenswerte nach den möglichen Folgen einer Beeinträchtigung der Cybersicherheit klassifizieren und Perimeter mit erheblichen oder kritischen Auswirkungen wie folgt ermitteln:
Durchführung einer Folgenabschätzung für Geschäftsprozesse anhand des ECII für alle Prozesse, die Gegenstand der Bewertung des Cybersicherheitsrisikos sind;
Einstufung eines Prozesses als Prozess mit erheblichen oder kritischen Auswirkungen, wenn sein ECII über dem Schwellenwert für erhebliche bzw. kritische Auswirkungen liegt;
Bestimmung aller Vermögenswerte mit erheblichen oder kritischen Auswirkungen als die Vermögenswerte, die für Prozesse mit erheblichen bzw. kritischen Auswirkungen erforderlich sind;
Bestimmung der Perimeter mit erheblichen oder kritischen Auswirkungen als Perimeter, die alle Vermögenswerte mit erheblichen bzw. kritischen Auswirkungen umfassen, damit der Zugang zu diesen Perimetern kontrolliert werden kann;
Cybersicherheitsrisiken durch Priorisierung anhand von Risikobewertungs- und Risikoakzeptanzkriterien gemäß Absatz 3 Buchstabe b beurteilen.
Artikel 27
Berichterstattung über die Risikobewertung auf Ebene der Einrichtung
Innerhalb von 12 Monaten nach der Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6 und danach alle drei Jahre legt jede Einrichtung mit erheblichen oder kritischen Auswirkungen der zuständigen Behörde einen Bericht vor, der folgende Informationen enthält:
eine Liste der für den Risikominderungsplan auf Ebene der Einrichtung gemäß Artikel 26 Absatz 5 ausgewählten Kontrollen mit dem aktuellen Stand der Umsetzung jeder Kontrolle;
für jeden unionsweiten Prozess mit erheblichen oder kritischen Auswirkungen eine Schätzung des Risikos einer Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und relevanten Vermögenswerten. Die Schätzung dieses Risikos ist im Einklang mit der Risiko-Auswirkungs-Matrix gemäß Artikel 19 Absatz 2 zu bestimmen;
für ihre Prozesse mit kritischen Auswirkungen eine Liste der Anbieter kritischer IKT-Dienste.
KAPITEL III
GEMEINSAMER RAHMEN FÜR DIE CYBERSICHERHEIT IM ELEKTRIZITÄTSSEKTOR
Artikel 28
Zusammensetzung, Funktionsweise und Überprüfung des gemeinsamen Rahmens für die Cybersicherheit im Elektrizitätssektor
Der gemeinsame Rahmen für die Cybersicherheit im Elektrizitätssektor umfasst die folgenden Kontrollen und Systeme für das Cybersicherheitsmanagement:
die gemäß Artikel 29 entwickelten Mindest-Cybersicherheitskontrollen;
die gemäß Artikel 29 entwickelten erweiterten Cybersicherheitskontrollen;
die gemäß Artikel 34 entwickelte Vergleichsmatrix, in der die Kontrollen gemäß den Buchstaben a und b anhand ausgewählter europäischer und internationaler Normen und nationaler Rechts- oder Verwaltungsrahmen verglichen werden;
das gemäß Artikel 32 eingerichtete Cybersicherheitsmanagementsystem.
Artikel 29
Mindest-Cybersicherheitskontrollen und erweiterte Cybersicherheitskontrollen
Artikel 30
Ausnahmen von den Mindest-Cybersicherheitskontrollen und den erweiterten Cybersicherheitskontrollen
Die in Artikel 2 Absatz 1 aufgeführten Einrichtungen können bei der jeweils zuständigen Behörde eine Ausnahme von ihrer Verpflichtung zur Anwendung der Mindest-Cybersicherheitskontrollen und der erweiterten Cybersicherheitskontrollen gemäß Artikel 29 Absatz 6 beantragen. Die zuständige Behörde kann eine solche Ausnahme aus folgenden Gründen gewähren:
unter außergewöhnlichen Umständen, wenn die Einrichtung nachweisen kann, dass die Kosten für die Durchführung geeigneter Cybersicherheitskontrollen den Nutzen erheblich übersteigen. Die ACER und ENTSO-E können in Zusammenarbeit mit der EU-VNBO zur Unterstützung der Einrichtungen gemeinsam Leitlinien für die Schätzung der Kosten von Cybersicherheitskontrollen ausarbeiten;
bei Vorlage eines Risikobehandlungsplans auf Ebene der Einrichtung, mit dem die Cybersicherheitsrisiken durch alternative Kontrollen auf ein Niveau verringert werden, das nach den in Artikel 26 Absatz 3 Buchstabe b genannten Risikoakzeptanzkriterien akzeptiert werden kann.
Artikel 31
Überprüfung des gemeinsamen Rahmens für die Cybersicherheit im Elektrizitätssektor
Artikel 32
Cybersicherheitsmanagementsystem
Innerhalb von 24 Monaten, nachdem sie von der zuständigen Behörde darüber unterrichtet wurde, dass sie gemäß Artikel 24 Absatz 6 als Einrichtung mit erheblichen oder kritischen Auswirkungen eingestuft wurde, richtet jede Einrichtung mit erheblichen oder kritischen Auswirkungen ein Cybersicherheitsmanagementsystem ein, das sie danach alle drei Jahre überprüft, um
den Umfang des Cybersicherheitsmanagementsystems unter Berücksichtigung von Schnittstellen und Abhängigkeiten mit anderen Einrichtungen festzulegen;
sicherzustellen, dass die gesamte obere Führungsebene über einschlägige rechtliche Verpflichtungen informiert ist und durch rechtzeitige Entscheidungen und rasche Reaktionen aktiv zur Umsetzung des Cybersicherheitsmanagementsystems beiträgt;
sicherzustellen, dass die für das Cybersicherheitsmanagementsystem erforderlichen Ressourcen zur Verfügung stehen;
ein Cybersicherheitskonzept festzulegen, das dokumentiert und innerhalb der Einrichtung sowie den von den Sicherheitsrisiken betroffenen Parteien bekannt gegeben wird;
Zuständigkeiten für Aufgaben, die für die Cybersicherheit relevant sind, zuzuweisen und bekannt zu geben;
das Cybersicherheitsrisikomanagement auf der Ebene der Einrichtungen gemäß Artikel 26 durchzuführen;
die für die Umsetzung, Pflege und kontinuierliche Verbesserung des Cybersicherheitsmanagementsystems erforderlichen Ressourcen festzulegen und bereitzustellen, wobei die erforderlichen Kompetenzen und die Sensibilisierung für Cybersicherheitsressourcen zu berücksichtigen sind;
die für die Cybersicherheit relevante interne und externe Kommunikation festzulegen;
dokumentierte Informationen im Zusammenhang mit dem Cybersicherheitsmanagementsystem zu erstellen, zu aktualisieren und zu kontrollieren;
die Ergebnisse und Wirksamkeit des Cybersicherheitsmanagementsystems zu beurteilen;
in geplanten Zeitabständen interne Audits durchzuführen, um sicherzustellen, dass das Cybersicherheitsmanagementsystem wirksam umgesetzt und gepflegt wird;
die Umsetzung des Cybersicherheitsmanagementsystems in geplanten Zeitabständen zu überprüfen und Abweichungen der Ressourcen und Tätigkeiten von den Konzepten, Verfahren und Leitlinien des Cybersicherheitsmanagementsystems zu kontrollieren und zu beheben.
Artikel 33
Mindest-Cybersicherheitskontrollen und erweiterte Cybersicherheitskontrollen in der Lieferkette
Die Mindest-Cybersicherheitskontrollen in der Lieferkette bestehen aus Kontrollen für Einrichtungen mit erheblichen oder kritischen Auswirkungen, die
auf Cybersicherheitsspezifikationen bezogene Empfehlungen für die Beschaffung von IKT-Produkten, -Diensten und -Prozessen enthalten und mindestens Folgendes abdecken:
Zuverlässigkeitsüberprüfungen der Mitarbeiter des Anbieters, die an der Lieferkette beteiligt sind und sich mit sensiblen Informationen befassen oder Zugang zu Vermögenswerten mit erheblichen oder kritischen Auswirkungen der Einrichtung haben. Die Zuverlässigkeitsüberprüfung kann eine Überprüfung der Identität und des Hintergrunds von Mitarbeitern oder Auftragnehmern einer Einrichtung im Einklang mit den nationalen Rechtsvorschriften und Verfahren sowie dem einschlägigen und geltenden Unionsrecht umfassen, einschließlich der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates ( 5 ). Zuverlässigkeitsüberprüfungen müssen verhältnismäßig und strikt auf das Notwendige beschränkt sein. Sie werden ausschließlich zum Zweck der Bewertung eines potenziellen Sicherheitsrisikos für die betreffende Einrichtung durchgeführt. Sie müssen in einem angemessenen Verhältnis zu den Geschäftserfordernissen, der Klassifizierung der einzusehenden Informationen und den wahrgenommenen Risiken stehen und können von der Einrichtung selbst, einem externen Unternehmen, das ein Screening durchführt, oder durch staatliches Clearing vorgenommen werden;
die Prozesse für eine sichere und kontrollierte Gestaltung, Entwicklung und Herstellung von IKT-Produkten, -Diensten und -Prozessen, die Förderung der Gestaltung und Entwicklung von IKT-Produkten, -Diensten und -Prozessen, die geeignete technische Maßnahmen zur Gewährleistung der Cybersicherheit umfassen;
die Gestaltung von Netz- und Informationssystemen, in denen Geräte selbst dann nicht als vertrauenswürdig gelten, wenn sie sich in einem sicheren Perimeter befinden, eine Überprüfung aller eingegangenen Anfragen erfordern und das Prinzip der minimalen Berechtigung angewandt wird;
den Zugang des Anbieters zu den Vermögenswerten der Einrichtung;
die vertraglichen Verpflichtungen des Anbieters zum Schutz sensibler Informationen der Einrichtung und zur Beschränkung des Zugangs zu diesen Informationen;
die zugrunde liegenden Spezifikationen für die Cybersicherheit bei der Auftragsvergabe an Unterauftragnehmer des Anbieters;
die Rückverfolgbarkeit der Anwendung der Cybersicherheitsspezifikationen von der Entwicklung über die Produktion bis zur Bereitstellung von IKT-Produkten, -Diensten oder -Prozessen;
die Unterstützung von Sicherheitsaktualisierungen während der gesamten Lebensdauer von IKT-Produkten, -Diensten oder -Prozessen;
das Recht auf Prüfung der Cybersicherheit in den Konzeptions-, Entwicklungs- und Produktionsprozessen des Anbieters sowie
die Bewertung des Risikoprofils des Anbieters;
diese Einrichtungen dazu verpflichten, die unter Buchstabe a genannten Empfehlungen für die Auftragsvergabe zu berücksichtigen, wenn sie Verträge mit Anbietern, Kooperationspartnern und anderen Parteien in der Lieferkette schließen, sowohl in Bezug auf normale Lieferungen von IKT-Produkten, -Diensten und -Prozessen als auch in Bezug auf ungeplante Ereignisse und Umstände wie die Kündigung und den Übergang von Verträgen im Falle von Fahrlässigkeit des Vertragspartners;
diese Einrichtungen dazu verpflichten, die Ergebnisse einschlägiger koordinierter Sicherheitsrisikobewertungen kritischer Lieferketten gemäß Artikel 22 Absatz 1 der Richtlinie (EU) 2022/2555 zu berücksichtigen;
Kriterien für die Auswahl von Anbietern und die Auftragsvergabe an Anbieter enthalten, die die unter Buchstabe a genannten Cybersicherheitsspezifikationen erfüllen können und über ein Maß an Cybersicherheit verfügen, das den Cybersicherheitsrisiken des vom Anbieter bereitgestellten IKT-Produkts, -Dienstes oder -Prozesses angemessen ist;
Kriterien für die Diversifizierung der Bezugsquellen für IKT-Produkte, -Dienste und -Prozesse und zur Verringerung des Risikos eines Anbieter-Lock-ins enthalten;
Kriterien für die regelmäßige Überwachung, Überprüfung oder Prüfung der Cybersicherheitsspezifikationen für interne Betriebsprozesse des Anbieters während des gesamten Lebenszyklus jedes IKT-Produkts, -Dienstes und -Prozesses enthalten.
Artikel 34
Vergleichsmatrix für Cybersicherheitskontrollen im Elektrizitätssektor anhand von Normen
KAPITEL IV
EMPFEHLUNGEN FÜR DIE CYBERSICHERHEIT BEI DER AUFTRAGSVERGABE
Artikel 35
Empfehlungen für die Cybersicherheit bei der Auftragsvergabe
Die ÜNB entwickeln mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO in einem Arbeitsprogramm, das jedes Mal bei der Annahme eines Berichts über die regionale Bewertung des Cybersicherheitsrisikos erstellt und aktualisiert wird, eine Reihe von unverbindlichen Empfehlungen für die Cybersicherheit bei der Auftragsvergabe, die Einrichtungen mit erheblichen oder kritischen Auswirkungen als Grundlage für die Beschaffung von IKT-Produkten, -Diensten und -Prozessen in den Perimetern mit erheblichen oder kritischen Auswirkungen nutzen können. Dieses Arbeitsprogramm umfasst
eine Beschreibung und Klassifizierung der Arten von IKT-Produkten, -Diensten und -Prozessen, die von Einrichtungen mit erheblichen oder kritischen Auswirkungen in ihrem Perimeter mit erheblichen oder kritischen Auswirkungen verwendet werden;
eine Liste der Arten von IKT-Produkten, -Diensten und -Prozessen, für die eine Reihe unverbindlicher Cybersicherheitsempfehlungen auf der Grundlage der einschlägigen Berichte über die regionale Bewertung des Cybersicherheitsrisikos und der Prioritäten von Einrichtungen mit erheblichen oder kritischen Auswirkungen zu erstellen sind.
Die ÜNB stellen mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO sicher, dass die Empfehlungen für die Cybersicherheit bei der Auftragsvergabe
den Grundsätzen der Auftragsvergabe aus der Richtlinie 2014/24/EU entsprechen und
mit den neuesten verfügbaren europäischen Schemata für die Cybersicherheitszertifizierung, die für das IKT-Produkt, den IKT-Dienst oder den IKT-Prozess relevant sind, vereinbar sind und diesen Rechnung tragen.
Artikel 36
Leitlinien für die Nutzung europäischer Schemata für die Cybersicherheitszertifizierung bei der Beschaffung von IKT-Produkten, -Diensten und -Prozessen
Die ÜNB arbeiten mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO eng mit der ENISA zusammen, um die sektorspezifischen Leitlinien bereitzustellen, die in den unverbindlichen Empfehlungen für die Cybersicherheit bei der Auftragsvergabe gemäß Absatz 1 enthalten sind.
KAPITEL V
INFORMATIONSFLÜSSE, CYBERANGRIFFE UND KRISENMANAGEMENT
Artikel 37
Vorschriften für den Informationsaustausch
Erhält eine zuständige Behörde Informationen über einen meldepflichtigen Cyberangriff,
bewertet sie den Grad der Vertraulichkeit dieser Informationen und unterrichtet die Einrichtung unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Eingang der Informationen, über das Ergebnis ihrer Bewertung;
versucht sie, andere ähnliche Cyberangriffe in der Union zu ermitteln, die anderen zuständigen Behörden gemeldet wurden, um die zu dem meldepflichtigen Cyberangriff eingegangenen Informationen mit Informationen zu vergleichen, die zu anderen Cyberangriffen bereitgestellt wurden, und um vorhandene Informationen zu ergänzen sowie die Reaktion im Bereich der Cybersicherheit zu stärken und zu koordinieren;
ist sie für die Entfernung von Geschäftsgeheimnissen und die Anonymisierung der Informationen im Einklang mit den einschlägigen nationalen Vorschriften und Unionsvorschriften verantwortlich;
übermittelt sie die Informationen unverzüglich, spätestens jedoch 24 Stunden nach Eingang der Informationen über einen meldepflichtigen Cyberangriff, den nationalen zentralen Anlaufstellen, den CSIRTs und allen gemäß Artikel 4 benannten zuständigen Behörden anderer Mitgliedstaten und stellt diesen Behörden oder Stellen regelmäßig aktualisierte Informationen zur Verfügung;
übermittelt sie die Informationen über den Cyberangriff nach Anonymisierung und Entfernung von Geschäftsgeheimnissen gemäß Absatz 1 Buchstabe c unverzüglich, spätestens jedoch 24 Stunden nach Eingang der Informationen gemäß Absatz 1 Buchstabe a, den Einrichtungen mit kritischen oder erheblichen Auswirkungen in ihrem Mitgliedstaat und stellt regelmäßig aktualisierte Informationen bereit, um den Einrichtungen einen wirksamen Schutz zu ermöglichen;
kann sie die meldende Einrichtung mit erheblichen oder kritischen Auswirkungen auffordern, die meldepflichtigen Informationen über Cyberangriffe auf sichere Weise an andere möglicherweise betroffene Einrichtungen weiterzuleiten, um den Elektrizitätssektor für die Lage zu sensibilisieren und zu verhindern, dass ein Risiko eintritt, das dort zu einem grenzüberschreitenden Cybersicherheitsvorfall eskalieren könnte;
übermittelt sie der ENISA nach Anonymisierung und Entfernung von Geschäftsgeheimnissen einen zusammenfassenden Bericht mit den Informationen zu dem Cyberangriff.
Erhält ein CSIRT Kenntnis von einer aktiv ausgenutzten Schwachstelle ohne Patch, so
teilt es diese der ENISA unverzüglich über einen geeigneten Kanal für den sicheren Informationsaustausch mit, sofern in anderen Rechtsvorschriften der Union nichts anderes bestimmt ist;
unterstützt es die betroffene Einrichtung dabei, vom Hersteller oder Anbieter eine wirksame, koordinierte und rasche Behandlung der aktiv ausgenutzten Schwachstelle ohne Patch oder wirksame und effiziente Abhilfemaßnahmen zu erhalten;
tauscht es die verfügbaren Informationen mit dem Verkäufer aus und fordert den Hersteller oder Anbieter auf, möglichst eine Liste der CSIRTs in den Mitgliedstaaten vorzulegen, die von der aktiv ausgenutzten Schwachstelle ohne Patch betroffen sind und informiert werden müssen;
tauscht es verfügbare Informationen nach dem Grundsatz „Kenntnis nur, wenn nötig“ mit den unter obigem Buchstaben genannten CSIRTs aus;
stellt es Informationen über etwaige vorhandene Abhilfestrategien und -maßnahmen in Bezug auf die aktiv ausgenutzte Schwachstelle ohne Patch bereit.
Erhält eine zuständige Behörde Kenntnis von einer aktiv ausgenutzten Schwachstelle ohne Patch, so
informiert sie in Abstimmung mit den CSIRTs in ihrem Mitgliedstaat über etwaige vorhandene Abhilfestrategien und -maßnahmen in Bezug auf die aktiv ausgenutzte Schwachstelle ohne Patch;
übermittelt sie die Informationen an ein CSIRT in dem Mitgliedstaat, in dem die aktiv ausgenutzte Schwachstelle ohne Patch gemeldet wurde.
Die ÜNB entwickeln mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO bis zum 13 Juni 2025 eine Klassifizierungsmethode für Cyberangriffe. Die ÜNB können mit Unterstützung von ENTSO-E und der EU-VNBO die zuständigen Behörden ersuchen, die ENISA und ihre für Cybersicherheit zuständigen Behörden zur Unterstützung bei der Entwicklung einer solchen Klassifizierungsskala zu konsultieren. Die Methode muss fünf Stufen für die Schwere eines Cyberangriffs enthalten, wobei „erheblich“ und „kritisch“ die höchsten Stufen darstellen. Die Klassifizierung muss sich auf die Bewertung der folgenden Parameter stützen:
die potenziellen Auswirkungen unter Berücksichtigung der gemäß Artikel 26 Absatz 4 Buchstabe c ermittelten exponierten Vermögenswerte und Perimeter und
die Schwere des Cyberangriffs.
In der Machbarkeitsstudie wird die Möglichkeit geprüft, ein solches gemeinsames Instrument
zu nutzen, um Einrichtungen mit kritischen oder erheblichen Auswirkungen durch einschlägige sicherheitsrelevante Informationen für den Betrieb grenzüberschreitender Stromflüsse zu unterstützen, z. B. durch echtzeitnahe Berichterstattung über Cyberangriffe, Frühwarnungen im Zusammenhang mit Cybersicherheitsfragen und nicht offengelegten Schwachstellen von Geräten, die im Elektrizitätssystem eingesetzt werden;
in einem geeigneten und äußerst vertrauenswürdigen Umfeld zu pflegen;
zu nutzen, um Daten bei Einrichtungen mit kritischen oder erheblichen Auswirkungen zu erheben und die Entfernung vertraulicher Informationen und die Anonymisierung der Daten zu unterstützen und diese unverzüglich an Einrichtungen mit kritischen oder erheblichen Auswirkungen weiterzuleiten.
In Zusammenarbeit mit der EU-VNBO
konsultiert ENTSO-E bei der Machbarkeitsstudie die ENISA und die NIS-Kooperationsgruppe, die nationalen zentralen Anlaufstellen und die Vertreter der wichtigsten Interessenträger;
legt ENTSO-E die Ergebnisse der Machbarkeitsstudie der ACER und der NIS-Kooperationsgruppe vor.
Artikel 38
Aufgaben von Einrichtungen mit erheblichen oder kritischen Auswirkungen beim Informationsaustausch
Jede Einrichtung mit erheblichen oder kritischen Auswirkungen
richtet für alle Vermögenswerte innerhalb ihres gemäß Artikel 26 Absatz 4 Buchstabe c bestimmten Cybersicherheitsperimeters mindestens die CSOC-Kapazitäten ein, um
sicherzustellen, dass die einschlägigen Netz- und Informationssysteme und -anwendungen Sicherheitsprotokolle für die Sicherheitsüberwachung umfassen, damit Anomalien erkannt und Informationen über Cyberangriffe erhoben werden können;
die Sicherheitsüberwachung durchzuführen, einschließlich der Erkennung eines Eindringens und der Bewertung von Schwachstellen von Netz- und Informationssystemen;
zu analysieren und erforderlichenfalls im Rahmen ihrer Zuständigkeit und Kapazitäten alle für den Schutz der Einrichtung erforderlichen Maßnahmen zu ergreifen;
sich an der in diesem Artikel beschriebenen Erhebung und Weitergabe von Informationen zu beteiligen;
ist berechtigt, sich diese Kapazitäten gemäß Buchstabe a ganz oder teilweise über MSSP zu beschaffen. Einrichtungen mit kritischen oder erheblichen Auswirkungen bleiben für die MSSP verantwortlich und überwachen deren Bemühungen;
benennt für den Informationsaustausch eine zentrale Anlaufstelle auf Ebene der Einrichtung.
Jede Einrichtung mit kritischen oder erheblichen Auswirkungen stellt ihren CSIRTs unverzüglich alle Informationen im Zusammenhang mit einer meldepflichtigen Cyberbedrohung bereit, die grenzüberschreitende Auswirkungen haben könnte. Informationen im Zusammenhang mit einer Cyberbedrohung gelten als meldepflichtig, wenn mindestens eine der folgenden Bedingungen erfüllt ist:
Sie umfassen relevante Informationen für die Verhütung, Erkennung, Behandlung oder Minderung der Auswirkungen des Risikos durch andere Einrichtungen mit kritischen oder erheblichen Auswirkungen;
die ermittelten, im Zusammenhang mit einem Angriff genutzten Vorgehensweisen, Taktiken und Verfahren sind mit Informationen wie kompromittierten URL-Adressen oder IP-Adressen, Hashs oder anderen Attributen verbunden, die für die Kontextualisierung und Zuordnung des Angriffs nützlich sind;
eine Cyberbedrohung kann weiter bewertet und mit zusätzlichen Informationen verknüpft werden, die von Dienstanbietern oder Dritten, die nicht dieser Verordnung unterliegen, bereitgestellt werden.
Jede Einrichtung mit kritischen oder erheblichen Auswirkungen gibt beim Austausch von Informationen gemäß diesem Artikel an,
dass die Informationen gemäß dieser Verordnung übermittelt werden;
ob die Informationen Folgendes betreffen:
einen meldepflichtigen Cyberangriff gemäß Absatz 3;
nicht öffentlich bekannte aktiv ausgenutzte Schwachstellen ohne Patch gemäß Absatz 4;
eine meldepflichtige Cyberbedrohung gemäß Absatz 5;
im Falle eines meldepflichtigen Cyberangriffs, welchen Grad der Cyberangriff nach der in Artikel 37 Absatz 8 genannten Klassifizierungsmethode für Cyberangriffe aufweist und welche Informationen zu dieser Einstufung geführt haben, einschließlich mindestens der Kritikalität des Cyberangriffs.
Artikel 39
Erkennung von Cyberangriffen und Umgang mit den damit zusammenhängenden Informationen
Einrichtungen mit kritischen oder erheblichen Auswirkungen
stellen sicher, dass ihre eigene zentrale Anlaufstelle auf Ebene der Einrichtung nach dem Grundsatz „Kenntnis nur, wenn nötig“ Zugang zu den Informationen hat, die sie von der nationalen zentralen Anlaufstelle über ihre zuständige Behörde erhalten hat;
übermitteln, sofern dies nicht bereits gemäß Artikel 3 Absatz 4 der Richtlinie (EU) 2022/2555 geschehen ist, der zuständigen Behörde des Mitgliedstaats, in dem sie niedergelassen sind, und der nationalen zentralen Anlaufstelle eine Liste ihrer für die Cybersicherheit zuständigen zentralen Anlaufstellen,
von denen die zuständige Behörde und die nationale zentrale Anlaufstelle Informationen über meldepflichtige Cyberangriffe erhalten könnte;
an die die zuständigen Behörden und die nationalen zentralen Anlaufstellen gegebenenfalls Informationen übermitteln müssen;
richten auf der Grundlage der beobachtbaren Entwicklung des Cyberangriffs innerhalb der Perimeter mit kritischen oder erheblichen Auswirkungen Verfahren zur Bewältigung von Cyberangriffen ein, einschließlich Rollen und Zuständigkeiten, Aufgaben und Reaktionen;
testen mindestens einmal jährlich alle Verfahren zur Bewältigung von Cyberangriffen, wobei sie mindestens ein Szenario testen, das sich direkt oder indirekt auf grenzüberschreitende Stromflüsse auswirkt. Dieser jährliche Test kann von Einrichtungen mit kritischen oder erheblichen Auswirkungen während der regelmäßigen Übungen gemäß Artikel 43 durchgeführt werden. Jede Live-Reaktionsmaßnahme auf einen Cyberangriff mit einer Folge, die gemäß der in Artikel 37 Absatz 8 genannten Klassifizierungsmethode für Cyberangriffe mindestens in die Stufe 2 eingestuft wird und der eine Cybersicherheitsursache zugrunde liegt, kann als jährlicher Test des Plans für die Reaktion auf Cyberangriffe betrachtet werden.
Artikel 40
Krisenmanagement
Die Ad-hoc-Koordinierungsgruppe für grenzüberschreitende Krisen
koordiniert eine effiziente Einholung aller relevanten Cybersicherheitsinformationen und deren weitere Übermittlung an die am Krisenmanagementprozess beteiligten Einrichtungen;
organisiert die Kommunikation zwischen allen von der Krise betroffenen Einrichtungen und den zuständigen Behörden, um Überschneidungen zu verringern und die Effizienz der Analysen und technischen Reaktionen zur Bewältigung zeitgleich auftretender Stromversorgungskrisen, denen eine Cybersicherheitsursache zugrunde liegt, zu erhöhen;
stellt in Zusammenarbeit mit den zuständigen CSIRTs das erforderliche Fachwissen bereit, einschließlich operativer Beratung bei der Umsetzung möglicher Abhilfemaßnahmen für die von dem Sicherheitsvorfall betroffenen Einrichtungen;
unterrichtet die Kommission und die Koordinierungsgruppe „Strom“ im Einklang mit den in Artikel 46 festgelegten Schutzprinzipien über den Stand des Sicherheitsvorfalls und aktualisiert diese Informationen regelmäßig;
holt Rat bei den zuständigen Behörden, Agenturen oder Einrichtungen ein, die zur Bewältigung der Stromversorgungskrise beitragen könnten.
Artikel 41
Cybersicherheitskrisenmanagement- und -reaktionspläne
Einrichtungen mit kritischen oder erheblichen Auswirkungen stellen sicher, dass ihre Krisenmanagementprozesse im Bereich der Cybersicherheit
kompatible Verfahren für die grenzüberschreitende Bewältigung von Cybersicherheitsvorfällen gemäß Artikel 6 Nummer 8 der Richtlinie (EU) 2022/2555 umfassen, die förmlich in ihren Krisenmanagementpläne enthalten sind;
Teil der allgemeinen Krisenmanagementmaßnahmen sind.
Innerhalb von 12 Monaten nach der Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6 und danach alle drei Jahre erstellen Einrichtungen mit kritischen oder erheblichen Auswirkungen auf Ebene der Einrichtung einen Krisenmanagementplan für Cybersicherheitskrisen, der in ihre allgemeinen Krisenmanagementpläne aufgenommen wird. Dieser Plan muss mindestens Folgendes umfassen:
Regeln für die Erklärung einer Krise gemäß Artikel 14 Absätze 2 und 3 der Verordnung (EU) 2019/941;
klare Aufgaben und Zuständigkeiten für das Krisenmanagement, einschließlich der Rolle anderer relevanter Einrichtungen mit kritischen oder erheblichen Auswirkungen;
aktuelle Kontaktinformationen sowie Regeln für die Kommunikation und den Informationsaustausch während einer Krisensituation, einschließlich der Verbindung zu den CSIRTs.
In Bezug auf Prozesse mit kritischen oder erheblichen Auswirkungen nehmen Einrichtungen mit kritischen oder erheblichen Auswirkungen ihre Krisenmanagementpläne auf Ebene der Einrichtung in ihre Pläne zur Aufrechterhaltung des Geschäftsbetriebs (Business Continuity) auf. Die Krisenmanagementpläne auf Ebene der Einrichtung müssen Folgendes umfassen:
Prozesse, die von der Verfügbarkeit, Integrität und Zuverlässigkeit von IT-Diensten abhängen;
alle Standorte für die Aufrechterhaltung des Geschäftsbetriebs, einschließlich der Standorte für Hardware und Software;
alle internen Aufgaben und Zuständigkeiten im Zusammenhang mit den Verfahren zur Aufrechterhaltung des Geschäftsbetriebs.
Artikel 42
Cybersicherheits-Frühwarnkapazitäten für den Elektrizitätssektor
Die ECEAC müssen es der ENISA bei der Wahrnehmung der in Artikel 7 Absatz 7 der Verordnung (EU) 2019/881 aufgeführten Aufgaben ermöglichen,
freiwillig ausgetauschte Informationen einzuholen bei:
CSIRTs, zuständigen Behörden;
den in Artikel 2 der vorliegenden Verordnung aufgeführten Einrichtungen;
jeder anderen Einrichtung, die relevante Informationen auf freiwilliger Basis weitergeben möchte;
die eingeholten Informationen zu bewerten und zu klassifizieren;
die Informationen zu bewerten, zu denen die ENISA Zugang hat, um Risikobedingungen für die Cybersicherheit und relevante Indikatoren für Aspekte grenzüberschreitender Stromflüsse zu ermitteln;
Bedingungen und Indikatoren zu ermitteln, die häufig mit Cyberangriffen im Elektrizitätssektor korrelieren;
anhand der Bewertung und Ermittlung von Risikofaktoren festzulegen, ob weitere Analysen vorzunehmen und Präventivmaßnahmen zu ergreifen sind;
die zuständigen Behörden über die ermittelten Risiken und empfohlene Präventionsmaßnahmen für die betreffenden Einrichtungen zu unterrichten;
alle in Artikel 2 aufgeführten relevanten Einrichtungen über die Ergebnisse der gemäß den Buchstaben b, c und d dieses Absatzes bewerteten Informationen zu unterrichten;
die einschlägigen Informationen regelmäßig in den gemäß Artikel 7 Absatz 6 der Verordnung (EU) 2019/881 erstellten EU-Cybersicherheitslagebericht aufnehmen;
soweit möglich, aus den erhobenen Informationen anwendbare Daten abzuleiten, die darauf hindeuten, dass ein potenzieller Sicherheitsverstoß oder Cyberangriff („Kompromittierungsindikatoren“) vorliegt.
Die ACER überwacht die Wirksamkeit der ECEAC. Die ENISA unterstützt die ACER durch Bereitstellung aller erforderlichen Informationen gemäß Artikel 6 Absatz 2 und Artikel 7 Absatz 1 der Verordnung (EU) 2019/881. Die Analyse dieser Überwachungstätigkeit ist Teil der Überwachung gemäß Artikel 12 der vorliegenden Verordnung.
KAPITEL VI
RAHMEN FÜR CYBERSICHERHEITSÜBUNGEN IM ELEKTRIZITÄTSSEKTOR
Artikel 43
Cybersicherheitsübungen auf Ebene der Einrichtungen und der Mitgliedstaaten
Abweichend von Absatz 1 kann die RP-NCA nach Konsultation der zuständigen Behörde und der gemäß Artikel 9 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörde für das Cyberkrisenmanagement beschließen, anstelle der Cybersicherheitsübung auf Ebene der Einrichtung eine Cybersicherheitsübung gemäß Absatz 1 auf Ebene des Mitgliedstaats durchzuführen. In diesem Zusammenhang unterrichtet die zuständige Behörde
alle Einrichtungen mit kritischen Auswirkungen ihres Mitgliedstaats, die NRB, die CSIRTs und die CS-NCA bis spätestens 30. Juni des Jahres, das der Cybersicherheitsübung auf Ebene der Einrichtungen vorausgeht;
jede Einrichtung, die an der Cybersicherheitsübung auf Ebene des Mitgliedstaats teilnehmen muss, spätestens sechs Monate vor der Übung.
Artikel 44
Regionale oder überregionale Cybersicherheitsübungen
Artikel 45
Ergebnisse von Cybersicherheitsübungen auf regionaler oder überregionaler Ebene oder auf der Ebene von Einrichtungen oder Mitgliedstaaten
Die Organisatoren der in Artikel 43 Absätze 1 und 2 und in Artikel 44 Absatz 1 genannten Cybersicherheitsübungen analysieren und beenden die einschlägigen Cybersicherheitsübungen mit einem an alle Teilnehmer gerichteten Bericht, in dem die gewonnenen Erkenntnisse zusammengefasst werden, wobei sie bei der ENISA gemäß Artikel 7 Absatz 5 der Verordnung (EU) 2019/881 Rat einholen können. Der Bericht muss Folgendes enthalten:
die Übungsszenarien, Sitzungsberichte, wichtigsten Standpunkte, Erfolge und Erkenntnisse auf allen Ebenen der Elektrizitätswertschöpfungskette;
die Angabe, ob die wichtigsten Leistungskriterien erfüllt wurden;
eine Liste von Empfehlungen für Einrichtungen, die an der einschlägigen Cybersicherheitsübung teilnehmen, in Bezug auf eine Korrektur, Anpassung oder Änderung von Cybersicherheitskrisenprozessen, -verfahren, zugehörigen Governance-Modellen und etwaigen bestehenden vertraglichen Verpflichtungen mit Anbietern kritischer Dienste.
KAPITEL VII
SCHUTZ VON INFORMATIONEN
Artikel 46
Grundsätze für den Schutz ausgetauschter Informationen
Die in Artikel 2 Absatz 1 aufgeführten Einrichtungen stellen sicher, dass alle erforderlichen Schutzmaßnahmen organisatorischer und technischer Art getroffen werden, um die Vertraulichkeit, Integrität, Verfügbarkeit und Nichtabstreitbarkeit der im Rahmen dieser Verordnung bereitgestellten, empfangenen, ausgetauschten oder übermittelten Informationen, unabhängig von den dabei genutzten Mitteln, zu wahren und zu schützen. Die Schutzmaßnahmen müssen
verhältnismäßig sein;
Cybersicherheitsrisiken im Zusammenhang mit bekannten früheren und sich abzeichnenden Bedrohungen Rechnung tragen, denen die Informationen im Zusammenhang mit dieser Verordnung ausgesetzt sein könnten;
soweit möglich auf nationalen, europäischen oder internationalen Normen und bewährten Verfahren beruhen;
dokumentiert werden.
Die in Artikel 2 Absatz 1 aufgeführten Einrichtungen stellen sicher, dass der Zugang zu den im Rahmen dieser Verordnung bereitgestellten, empfangenen, ausgetauschten oder übermittelten Informationen auf Personen beschränkt wird,
die aufgrund ihrer Funktionen, und beschränkt auf die Ausführung der ihnen übertragenen Aufgaben, zum Zugang zu diesen Informationen berechtigt sind;
in Bezug auf die die Einrichtung ethische Grundsätze und Integritätsgrundsätze prüfen konnte und für die es keine Hinweise auf ein negatives Ergebnis einer Zuverlässigkeitsüberprüfung gibt, mit der die Zuverlässigkeit der Person im Einklang mit bewährten Verfahren und den Standardsicherheitsanforderungen der Einrichtung und erforderlichenfalls mit den nationalen Gesetzen und Vorschriften bewertet wurde.
Eine in Artikel 2 Absatz 1 aufgeführte Einrichtung kann der Ansicht sein, dass diese Informationen ohne Einhaltung der Absätze 1 und 4 des vorliegenden Artikels weitergegeben werden müssen, um eine zeitgleich auftretende Stromversorgungskrise mit einer zugrunde liegenden Cybersicherheitsursache oder eine grenzüberschreitende Krise innerhalb der Union in einem anderen Sektor zu verhindern. In diesem Fall
konsultiert sie die zuständige Behörde und kann von ihr zur Weitergabe dieser Informationen ermächtigt werden;
anonymisiert sie diese Informationen, ohne dass die Elemente verloren gehen, die erforderlich sind, um die Öffentlichkeit über ein unmittelbares und ernstes Risiko für grenzüberschreitende Stromflüsse und mögliche Abhilfemaßnahmen zu informieren;
schützt sie die Identität des Urhebers und der Einrichtungen, die diese Informationen im Rahmen dieser Verordnung verarbeitet haben.
Artikel 47
Vertraulichkeit von Informationen
KAPITEL VIII
SCHLUSSBESTIMMUNGEN
Artikel 48
Übergangsbestimmungen
Bis zur Genehmigung der Modalitäten oder Methoden gemäß Artikel 6 Absatz 2 oder der Pläne gemäß Artikel 6 Absatz 3 erstellt ENTSO-E in Zusammenarbeit mit der EU-VNBO unverbindliche Leitlinien zu folgenden Themen:
einem vorläufigen Index für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor (im Folgenden „ECII“) gemäß Absatz 2;
einer vorläufigen Liste der unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen gemäß Absatz 4 sowie
einer vorläufigen Liste europäischer und internationaler Normen und Kontrollen gemäß Absatz 6, die nach nationalen Rechtsvorschriften erforderlich und für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse relevant sind.
Die vorläufige Liste der europäischen und internationalen Normen und Kontrollen muss Folgendes enthalten:
europäische und internationale Normen und nationale Rechtsvorschriften, die Leitlinien für Methoden für das Risikomanagement im Bereich der Cybersicherheit auf Ebene der Einrichtungen enthalten, und
Cybersicherheitskontrollen, die denjenigen gleichwertig sind, die voraussichtlich Teil der Mindest-Cybersicherheitskontrollen und der erweiterten Cybersicherheitskontrollen sein werden.
Artikel 49
Inkrafttreten
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.
( 1 ) Durchführungsverordnung (EU) Nr. 1348/2014 der Kommission vom 17. Dezember 2014 über die Datenmeldung gemäß Artikel 8 Absätze 2 und 6 der Verordnung (EU) Nr. 1227/2011 des Europäischen Parlaments und des Rates über die Integrität und Transparenz des Energiegroßhandelsmarkts (ABl. L 363 vom 18.12.2014, S. 121).
( 2 ) Verordnung (EU) 2019/942 des Europäischen Parlaments und des Rates vom 5. Juni 2019 zur Gründung einer Agentur der Europäischen Union für die Zusammenarbeit der Energieregulierungsbehörden (ABl. L 158 vom 14.6.2019, S. 22).
( 3 ) Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates vom 25. Oktober 2012 zur europäischen Normung, zur Änderung der Richtlinien 89/686/EWG und 93/15/EWG des Rates sowie der Richtlinien 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG und 2009/105/EG des Europäischen Parlaments und des Rates und zur Aufhebung des Beschlusses 87/95/EWG des Rates und des Beschlusses Nr. 1673/2006/EG des Europäischen Parlaments und des Rates (ABl. L 316 vom 14.11.2012, S. 12).
( 4 ) Beschluss der Kommission vom 15. November 2012 zur Einsetzung der Koordinierungsgruppe „Strom“ (2012/C 353/02) (ABl. C 353 vom 17.11.2012, S. 2).
( 5 ) Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89).
( 6 ) Richtlinie 2014/24/EU des Europäischen Parlaments und des Rates vom 26. Februar 2014 über die öffentliche Auftragsvergabe und zur Aufhebung der Richtlinie 2004/18/EG (ABl. L 94 vom 28.3.2014, S. 65).