### Identifizierungsmethode der Organisationen

Ziel der NCCS-Verordnung ist es, die Cybersicherheit des europäischen Stromsystems in einem einheitlichen Rahmen zu stärken. Um eine wirksame Umsetzung zu gewährleisten, ist es notwendig, genau zu definieren, welche Organisationen den Anforderungen der Verordnung unterliegen.

Die Identifizierung der Organisationen erfolgt durch die zuständigen Behörden auf der Grundlage von Artikel 24 der NCCS und Artikel 48 der NCCS.

Identifizierungskriterien:

1. Ihr ECII-Wert (Index für die Auswirkungen auf die Cybersicherheit) übersteigt die Schwellenwerte für erlebliche oder kritische Auswirkungen.

Vorläufige ECII-Werte sind hier verfügbar:

Vorläufige ECII-Werte laut ENTSO-E.

2. Sie nehmen an mit erheblichen Auswirkungen und mit kritischen Auswirkungen Prozessen auf EU-Ebene teil.

Die vorläufige Liste der Prozesse ist hier verfügbar:

Vorläufige Prozessliste laut ENTSO-E.

Identifizierung zusätzlicher Organisationen

1. Organisationen, die nicht in der Union niedergelassen sind, aber Dienstleistungen für in der Union tätige Organisationen erbringen

Die zuständige Behörde kann Einrichtung mit erheblichen Auswirkungen und Einrichtung mit kritischen Auswirkungen identifizieren, die nicht in der EU niedergelassen sind, sofern sie innerhalb der Union tätig sind. Die zuständige Behörde kann von diesen Organisationen Informationen anfordern, um ihre ECII-Werte zu bestimmen. Organisationen, die nicht in der Union niedergelassen sind, aber Dienstleistungen für Organisationen innerhalb der Union erbringen und benachrichtigt wurden, dass sie als erheblich relevant oder kritisch relevant eingestuft werden, müssen innerhalb von drei Monaten nach Eingang der Benachrichtigung schriftlich einen Vertreter in der Union benennen und die benachrichtigende zuständige Behörde entsprechend informieren, wie in Artikel 15 der NCCS festgelegt.

2. Gruppe von Organisationen

Die zuständige Behörde eines jeden Mitgliedstaats kann zusätzliche Organisationen als Einrichtung mit erheblichen Auswirkungen oder Einrichtung mit kritischen Auswirkungen identifizieren, wenn die folgenden Kriterien erfüllt sind:

1. Die Organisation ist Teil einer Gruppe von Organisationen, die einem erheblichen Risiko einer gleichzeitigen Betroffenheit durch einen Cyberangriff ausgesetzt sind.

2. Der aggregierte ECII-Wert der Gruppe übersteigt die Schwellenwerte für erhebliche Auswirkung oder kritische Auswirkung.