### Welche Aspekte der Cybersicherheit deckt die NCCS ab?

Die NCCS ist eine umfassende Verordnung, die mehrere Aspekte der Cybersicherheit im Elektrizitätssektor abdeckt. Zu den wichtigsten Bereichen gehören:

1. Risikobewertung im Bereich Cybersicherheit

Die Risikobewertung ist eine der zentralen Säulen der NCCS. Das Cybersicherheits-Risikomanagement im Rahmen der NCCS-Verordnung erfordert ein strukturiertes Verfahren, das unter anderem die Identifizierung von Risiken umfasst, die sich aus Cyberangriffen auf grenzüberschreitende Stromflüsse ergeben, sowie die zugehörigen betrieblichen Prozesse und deren Geltungsbereiche, einschließlich geeigneter Sicherheitskontrollen und Authentifizierungsmechanismen. Die Risikobewertung erfolgt regelmäßig auf EU-, regionaler, nationaler und Organisationsebene. Der in verschiedenen Bestimmungen dargelegte risikobasierte Ansatz dient der Identifizierung von Prozessen, unterstützenden Vermögenswerten und deren betreibenden Organisationen, die Auswirkungen auf grenzüberschreitende Stromflüsse haben. Je nachdem, in welchem Maße potenzielle Cyberangriffe die Tätigkeiten dieser Organisationen in Bezug auf grenzüberschreitende Stromflüsse beeinträchtigen, können sie als Organisationen mit erleblicher Auswirkung oder kritischer Auswirkung eingestuft werden. Die Mitgliedstaaten sind dafür verantwortlich, Organisationen zu identifizieren, die die Qualifikationskriterien für Organisationen mit erleblicher und kritischer Auswirkung erfüllen, durch die zuständige Behörde gemäß der NCCS-Verordnung.

Die Risikobewertungen im Bereich Cybersicherheit auf EU-, nationaler, regionaler und Organisationsebene können gemäß der NCCS-Verordnung auf Risiken beschränkt sein, die sich aus Cyberangriffen im Sinne der VERORDNUNG (EU) 2022/2554 DES EUROPÄISCHEN PARLAMENTS UND DES RATES ergeben. Dementsprechend können Risiken im Zusammenhang mit physischen Angriffen, Naturkatastrophen und Betriebsunterbrechungen durch Anlagen- oder Personalausfälle ausgeschlossen sein.

Die Bestimmungen der NCCS-Verordnung berühren nicht das Unionsrecht, das spezifische Vorschriften über die Zertifizierung von Informations- und Kommunikationstechnologieprodukten, -diensten und -prozessen enthält, insbesondere im Hinblick auf den Rahmen zur Einrichtung europäischer Cybersicherheitszertifizierungsregelungen, wie in der VERORDNUNG (EU) 2019/881 DES EUROPÄISCHEN PARLAMENTS UND DES RATES festgelegt.

2. Gemeinsamer Rahmen für die Cybersicherheit im Strombereich

Zur Minderung von Cybersicherheitsrisiken ist es erforderlich, ein detailliertes Regelwerk für das Vorgehen und die Zusammenarbeit relevanter Akteure zu schaffen, deren Tätigkeiten mit Aspekten der Cybersicherheit grenzüberschreitender Stromflüsse zusammenhängen, um die Systemsicherheit zu gewährleisten. Diese organisatorischen und technischen Vorschriften sollen sicherstellen, dass die meisten Vorfälle mit Ursachen im Bereich Cybersicherheit auf operativer Ebene wirksam behandelt werden können. Es muss festgelegt werden, welche Maßnahmen diese Akteure ergreifen sollen, um solche Krisen zu vermeiden, und welche Maßnahmen möglich sind, falls die Systembetriebsregeln allein nicht mehr ausreichen. Daher ist es notwendig, einen gemeinsamen Regelungsrahmen festzulegen, um gleichzeitige Stromkrisen mit Ursachen im Bereich Cybersicherheit zu verhindern, sich darauf vorzubereiten und sie zu bewältigen. Dies erhöht die Transparenz in der Vorbereitungsphase und während einer gleichzeitigen Stromkrise und gewährleistet, dass Maßnahmen in koordinierter und wirksamer Weise gemeinsam mit den zuständigen Cybersicherheitsbehörden der Mitgliedstaaten ergriffen werden.

3. Informationsaustausch

Da die Ausnutzung von Schwachstellen in Netz- und Informationssystemen zu erheblichen Störungen der Energieversorgung und schweren wirtschaftlichen Schäden für Verbraucher führen kann, müssen diese Schwachstellen schnell erkannt und beseitigt werden, um Risiken zu minimieren. Zur wirksamen Umsetzung der NCCS-Verordnung müssen relevante Organisationen und zuständige Behörden in geeigneten praktischen und Testaktivitäten zusammenarbeiten. Dazu gehört der Austausch von Informationen über Cyberbedrohungen, Cyberangriffe, Schwachstellen, Vermögenswerte sowie Methoden, Taktiken, Techniken und Verfahren, über die Vorbereitung auf Krisenfälle im Bereich Cybersicherheit und über andere Übungen. Die Verordnung legt den Umfang meldepflichtiger Cyberangriffe, Bedrohungen und Schwachstellen sowie die Regeln für den Informationsaustausch und Vertraulichkeitspflichten fest.

4. Sicherheit der Lieferkette

Jüngste Cyberangriffe zeigen, dass Organisationen zunehmend Ziel von Angriffen auf die Lieferkette werden. Solche Angriffe betreffen nicht nur einzelne Organisationen innerhalb des Anwendungsbereichs, sondern können auch kaskadierende Effekte auf andere Organisationen im Stromnetz haben, mit denen sie verbunden sind.

Auf Grundlage der Verordnung werden Mindestanforderungen und fortgeschrittene Cybersicherheitskontrollen sowie Beschaffungsempfehlungen für die Akteure der Lieferkette formuliert.