### Organisationen mit erheblicher und kritischer Auswirkung

Organisationen mit erheblicher und kritischer Auswirkung

Im letzten Kapitel fassen wir die wichtigsten Aufgaben von Organisationen mit erheblicher und kritischer Auswirkung zusammen:

- Ernennt eine zentrale Anlaufstelle (SPOC) (NCCS Artikel 38 Absatz 1)

- Alle drei Jahre wird für alle Vermögenswerte innerhalb der Bereiche mit erheblicher und kritischer Auswirkung ein Cybersicherheitsrisikomanagement auf Organisationsebene durchgeführt (NCCS Artikel 26, NCCS Artikel 27)

- Führt ein Verzeichnis der Vermögenswerte im Vermögensverzeichnis. Das Vermögensverzeichnis ist nicht Teil des Risikobewertungsberichts (NCCS Artikel 26).

- Legt alle drei Jahre der zuständigen Behörde einen Bericht vor, der folgende Informationen enthält (NCCS Artikel 27):

  1. Liste der Kontrollen zusammen mit dem aktuellen Umsetzungsstatus jeder Kontrolle

  2. Abschätzung der Risiken in Bezug auf die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und relevanten Vermögenswerten für alle Prozesse auf Unionsebene, Prozesse mit erheblicher Auswirkung oder Prozesse mit kritischer Auswirkung

  3. Liste kritischer IKT-Dienstleister auf Grundlage ihrer Prozesse mit kritischer Auswirkung

- Einrichtung eines Cybersicherheits-Managementsystems (NCCS Artikel 32)

- Nachweis der Einhaltung des Cybersicherheits-Managementsystems und der Mindest- oder erweiterten Cybersicherheitskontrollen (nur Organisation mit kritischer Auswirkung) (NCCS Artikel 25)

- Anwendung von Mindest- und erweiterten Kontrollen in der Lieferkette (Artikel 33)

- Schafft CSOC-Fähigkeiten (NCCS Artikel 38)

- Meldet Informationen im Zusammenhang mit Cyberangriffen / Cyberbedrohungen / ungepatchten, aktiv ausgenutzten Sicherheitslücken (NCCS Artikel 38)

Thema | Frist | Meldepflichtige Organisationen
--- | --- | ---
Cyberangriff | Innerhalb von 4 Stunden | CSIRT, zuständige Behörde
Nicht gepatchte, aktiv ausgenutzte Sicherheitslücke | NIS 2 | CSIRT
Cyberbedrohung | Unverzüglich | CSIRT

- Entwickelt und testet Verfahren zum Umgang mit Cyberangriffen (NCCS Artikel 39) und Krisenmanagementpläne mindestens alle drei Jahre (NCCS Artikel 41).

- Alle drei Jahre führt die einzige Organisation mit kritischer Auswirkung eine Übung zur Cybersicherheit durch (NCCS Artikel 43).