### Cybersicherheitsrisikobewertung auf Ebene der Mitgliedstaaten

NCCS Artikel 20

Jede zuständige Behörde führt eine Cybersicherheitsrisikobewertung für alle Organisationen mit erheblicher und kritischer Auswirkung in ihrem Mitgliedstaat durch, wobei sie die gemäß Artikel 18 des Gesetzes über die Cybersicherheit (NCCS Artikel 18) entwickelten und gemäß NCCS Artikel 8 genehmigten Methoden anwendet. Die Cybersicherheitsrisikobewertung der Mitgliedstaaten muss die Risiken von Cyberangriffen identifizieren und analysieren, die die Betriebssicherheit des Stromnetzes beeinträchtigen und grenzüberschreitende Stromflüsse stören. Die Cybersicherheitsrisikobewertung der Mitgliedstaaten darf die rechtlichen, finanziellen oder reputationsbezogenen Folgen von Cyberangriffen nicht berücksichtigen.

Innerhalb von 21 Monaten nach der Benachrichtigung der Organisation mit erheblicher und kritischer Auswirkung gemäß NCCS Artikel 24 Absatz 6 und danach alle drei Jahre sowie nach Rücksprache mit der für Elektrizität zuständigen CS-NCA muss jede zuständige Behörde mit Unterstützung der CSIRT einen Bericht über die Bewertung der Cybersicherheitsrisiken in den Mitgliedstaaten an das ENTSO für Elektrizität und die EU-DSO-Organisation vorlegen, der für jeden Geschäftsprozess mit erheblicher und kritischer Auswirkung die folgenden Informationen enthält:

a) der Stand der Umsetzung der Mindest- und erweiterten Cybersicherheitskontrollen gemäß dem Nationalen Cybersicherheitskontrollsystem (NCCS Artikel 29);

b) eine Liste aller Cyberangriffe, die in den letzten drei Jahren gemäß dem Gesetz über die nationale Cybersicherheit (NCCS Artikel 38 Absatz 3) gemeldet wurden ;

c) eine Zusammenfassung der in den letzten drei Jahren gemäß dem Gesetz über das nationale Cybersicherheitszentrum (NCCS Artikel 38 Absatz 6) gemeldeten Informationen zu Cyberbedrohungen ;

d) für jeden unionsweiten Prozess mit erheblicher oder kritischer Auswirkung eine Abschätzung der Risiken einer Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und relevanten Vermögenswerten;

e) Falls erforderlich, eine Liste zusätzlicher Organisationen, die gemäß dem Gesetz über die nationale Sicherheit und die Sicherheit der kritischen Infrastruktur (NCCS Artikel 24 Absatz 2, 3, 5) als Organisationen mit erheblicher oder kritischer Auswirkung eingestuft wurden .

Der Bericht des Mitgliedstaats über die Bewertung der Cybersicherheitsrisiken berücksichtigt den gemäß VERORDNUNG (EU) 2019/941 DES EUROPÄISCHEN PARLAMENTS Artikel 10 festgelegten Risikovorsorgeplan des Mitgliedstaats.

Die im Bericht über die Bewertung der Cybersicherheitsrisiken der Mitgliedstaaten enthaltenen Informationen dürfen nicht mit bestimmten Organisationen oder Vermögenswerten in Verbindung gebracht werden. Der Bericht zur Bewertung der Cybersicherheitsrisiken des Mitgliedstaats muss auch eine Risikobewertung der vorübergehenden Ausnahmeregelungen enthalten, die von den zuständigen Behörden der Mitgliedstaaten gemäß Artikel 30 des Rechtsakts über die Cybersicherheit (NCCS Artikel 30) erlassen wurden.