### Cybersicherheits-Risikobewertung auf Organisationsebene

NCCS Artikel 26 und NCCS Artikel 27 beschreiben die Einzelheiten der Bewertung und des Managements von Cybersicherheitsrisiken auf Organisationsebene.

Gemäß NCCS Artikel 26 Absatz 2 muss während der Phase des Cybersicherheits-Risikomanagements jede Organisation mit erheblicher und kritischer Auswirkung einen Risikominderungsplan auf Organisationsenebene für alle Vermögenswerte innerhalb des erheblichen und kritischen Perimeters entwickeln und alle drei Jahre eine Risikobewertung durchführen.

Die Organisation analysiert die Wahrscheinlichkeit und die Folgen der identifizierten Cybersicherheitsrisiken und ermittelt den Cybersicherheitsrisikograd anhand der Risiko-Auswirkungs-Matrix, die von den Übertragungsnetzbetreibern (TSOs) in Zusammenarbeit mit ENTSO-E für den Strommarkt und den EU-DSO gemäß NCCS Artikel 19 Absatz 2, entwickelt wurde, wobei Methoden zur Bewertung von Cybersicherheitsrisiken auf EU-Ebene, regionaler Ebene und auf Ebene der Mitgliedstaaten integriert werden.

Gemäß NCCS Artikel 26 Absatz 2 muss jede Organisation der Kategorien erheblicher Auswirkung und kritischer Auswirkung ihr Cybersicherheitsrisikomanagement auf einen Ansatz stützen, der auf den Schutz ihres Netzwerks und ihrer Informationssysteme abzielt und aus den folgenden Phasen besteht:

a) Den Kontext herstellen;

b) Durchführung einer Cybersicherheits-Risikobewertung auf Organisationsebene;

c) Management von Cybersicherheitsrisiken;

d) Akzeptanz von Cybersicherheitsrisiken.

Zeitleiste | Stufen
--- | ---
Identifizierung von Organisationen mit erheblicher und kritischer Auswirkung + 12 Monate. Alle 3 Jahre | Organisation mit kritischer Auswirkung Organisation mit erheblicher Auswirkung

Die Schritte des Verfahrens sind wie folgt:

1. Festlegung des Umfangs unter Berücksichtigung Prozesse mit erheblicher Auswirkung, Prozesse mit kritischer Auswirkung oder anderer Prozesse.

2. Festlegung der Kriterien für die Risikobewertung und -akzeptanz (Risiko-Auswirkungs-Matrix).

3. Identifizierung von Cybersicherheitsrisiken, Cyberbedrohungen, Schwachstellen und Cyberangriffsszenarien unter Berücksichtigung von Risikobewertungen auf EU-Ebene.

4. Analyse der Wahrscheinlichkeit und der Folgen von Cybersicherheitsrisiken unter Verwendung der Risiko-Auswirkungs-Matrix.

5. Klassifizierung von Vermögenswerten auf der Grundlage der Folgen einer potenziellen Gefährdung sowie Bestimmung von Bereichen mit erheblichen und kritischen Auswirkungen unter Verwendung ECII.

6. Bewertung von Cybersicherheitsrisiken durch deren Rangfolge.

7. Entwicklung eines Plans zur Risikominderung auf Organisationsebene.

8. Entscheidung darüber, ob das Restrisiko auf der Grundlage der Risikoakzeptanzkriterien akzeptabel ist.

9. Führen eines Bestandsverzeichnisses aller Vermögenswerte innerhalb des Bereichs mit erheblicher und kritischer Auswirkung. Dieses Bestandsverzeichnis ist nicht Teil des Risikobewertungsberichts.

Resultate

Berichte über die Cybersicherheits-Risikobewertung auf Organisationsebene:

Bericht zur Bewertung von Cybersicherheitsrisiken auf Organisationsebene gemäß dem Gesetz über Cybersicherheit und Cybersicherheit (NCCS Artikel 27). Alle Organisationen mit erheblicher oder kritischer Auswirkung müssen innerhalb von 12 Monaten nach ihrer Einstufung als Organisation mit erheblicher oder kritischer Auswirkung einen Bericht bei der zuständigen Behörde einreichen und anschließend alle drei Jahre.

Der Bericht muss folgende Informationen enthalten:

- Eine Liste ausgewählter Kontrollen aus dem Risikominderungsplan auf Organisationensebene, wie im (NCCS Artikel 26 Absatz 5) vorgeschrieben, zusammen mit dem aktuellen Umsetzungsstatus jeder Kontrollmaßnahme.

- Risikoeinschätzung in Bezug auf die Gefährdung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und relevanten Vermögenswerten für jeden Prozess auf EU-Ebene, jeden Prozess mit erheblicher Auswirkung und jeden Prozess mit kritischer Auswirkung. Diese Risikoeinschätzung muss der in NCCS Artikel 19 Absatz 2 festgelegten Risiko-Auswirkungs-Matrix entsprechen.

- Eine Liste von Anbietern von kritischen IKT-Diensten, die für ihre Prozesse mit kritischer Auswirkungen unerlässlich sind.

- Nach der Identifizierung von Organisationen mit erheblicher und kritischer Auswirkung muss innerhalb von 12 Monaten eine Risikobewertung auf Organisationensebene durchgeführt werden, die alle drei Jahre wiederholt werden sollte.