### Cybersicherheitsmanagementsystem

NCCS Artikel 32

Innerhalb von 24 Monaten, nachdem sie von der zuständigen Behörde darüber informiert wurden, dass sie gemäß NCCS Artikel 24 Absatz 6 als Organisation mit erheblicher oder kritischer Auswirkung eingestuft wurden, muss jede Organisation gemäß NCCS Artikel 32 Absatz 1

(a) den Geltungsbereich des Cybersicherheits-Managementsystems unter Berücksichtigung von Schnittstellen und Abhängigkeiten zu anderen Einrichtungen festlegen;

(b) sicherstellen, dass das gesamte obere Management über relevante rechtliche Verpflichtungen informiert ist und aktiv durch rechtzeitige Entscheidungen und rasche Reaktionen zur Umsetzung des Cybersicherheits-Managementsystems beiträgt;

(c) sicherstellen, dass die für das Cybersicherheits-Managementsystem benötigten Ressourcen verfügbar sind;

(d) eine Cybersicherheitspolitik festlegen, die dokumentiert und innerhalb der Organisation sowie gegenüber von den Sicherheitsrisiken betroffenen Parteien kommuniziert wird;

(e) Zuständigkeiten für cybersicherheitsrelevante Rollen zuweisen und kommunizieren;

(f) Cybersicherheits-Risikomanagement auf Einrichtungsebene durchführen, wie in NCCS Artikel 26 festgelegt;

(g) die für die Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung des Cybersicherheits-Managementsystems erforderlichen Ressourcen ermitteln und bereitstellen, wobei die notwendige Kompetenz und das Bewusstsein im Bereich Cybersicherheit berücksichtigt werden;

(h) die für die Cybersicherheit relevante interne und externe Kommunikation festlegen;

(i) Erstellung, Aktualisierung und Kontrolle dokumentierter Informationen über das Cybersicherheitsmanagementsystem;

(j) Bewertung der Leistung und Wirksamkeit des Cybersicherheitsmanagementsystems;

(k) Durchführung von internen Audits in geplanten Abständen, um sicherzustellen, dass das Cybersicherheitsmanagementsystem wirksam umgesetzt und aufrechterhalten wird;

(l) Überprüfung der Umsetzung des Cybersicherheits-Managementsystems in geplanten Abständen und Kontrollieren bzw. Korrigieren der Nichteinhaltung der Strategien, Verfahren und Leitlinien des Cybersicherheits-Managementsystems durch die Ressourcen und Aktivitäten.

Innerhalb von 24 Monaten nach Identifizierung müssen alle Organisationen mit erheblicher und kritischer Auswirkung ein Cybersicherheits-Managementsystem einrichten und dieses System danach alle drei Jahre überprüfen. Gemäß NCCS Artikel 32 Absatz 2 muss der Geltungsbereich des Cybersicherheits-Managementsystems alle Vermögenswerte umfassen, die in den Geltungsbereich der Organisation mit erheblicher und kritischer Auswirkung fallen.