### Mindest- und erweiterte Cybersicherheitskontrollen

Artikel NCCS 29

Gemäß Artikel 29 Absatz 1 des NCCS müssen die Übertragungsnetzbetreiber innerhalb von sieben Monaten nach Vorlage des ersten Entwurfs des EU-weiten Berichts zur Bewertung der Cybersicherheitsrisiken mit Unterstützung des ENTSO (Strom) und in Zusammenarbeit mit den DSO der EU einen Vorschlag für Mindest- und erweiterte Cybersicherheitskontrollen ausarbeiten.

Die Mindest- und erweiterten Cybersicherheitskontrollen können nach dem in NCCS Artikel 31 beschriebenen Verfahren auf der Grundlage der Teilnahme am nationalen System zur Prüfung der Einhaltung der Vorschriften oder durch die Durchführung von Sicherheitsaudits durch einen unabhängigen Dritten gemäß den in NCCS Artikel 25 Absatz 2 aufgeführten Anforderungen geprüft werden.

Die gemäß NCCS Artikel 29 Absatz 1 entwickelten grundlegenden Mindest- und erweiterten Cybersicherheitskontrollen stützen sich auf die Risiken, die im EU-weiten Bericht zur Bewertung des Cybersicherheitsrisikos gemäß NCCS Artikel 19 Absatz 5 ermittelt wurden. Die gemäß NCCS Artikel 29 Absatz 2 entwickelten modifizierten Mindest- und erweiterten Cybersicherheitskontrollen stützen sich auf den regionalen Bericht zur Bewertung des Cybersicherheitsrisikos gemäß NCCS Artikel 21 Absatz 2.

Zu den Mindestkontrollen der Cybersicherheit gehören Kontrollen zum Schutz der unter NCCS Artikel 46 ausgetauschten Informationen.

Die Übertragungsnetzbetreiber (ÜNB) entwickeln gemeinsam mit dem ENTSO-E und dem EU-DSB Mindest- und erweiterte Kontrollvorschläge zur Cybersicherheit für die Lieferkette (NCCS Artikel 33) in Übereinstimmung mit den Mindest- und erweiterten Kontrollen (NCCS Artikel 29).

Risikobewertung Gemäss Artikel 26 des NCCS (NCCS Artikel 26) ist die Risikobewertung ein strukturierter Prozess, der darauf abzielt, das Netzwerk und die Informationssysteme der Organisation zu schützen. Alle Organisationen mit erheblicher und kritischer Auswirkung müssen alle drei Jahre eine Risikobewertung durchführen. Dieses Verfahren stellt sicher, dass die Organisationen die Sicherheitslage ihrer Systeme kontinuierlich bewerten, potenzielle Bedrohungen und Schwachstellen ermitteln und geeignete Maßnahmen zur Risikominderung ergreifen. Es handelt sich dabei um ein wesentliches Verfahren zur Aufrechterhaltung der Integrität und Widerstandsfähigkeit kritischer Infrastrukturen angesichts der sich entwickelnden Herausforderungen im Bereich der Cybersicherheit.

Dieses System schreibt einen umfassenden Ansatz für das Cybersicherheitsmanagement auf Unternehmensebene vor. Das System umfasst beispielsweise die Entwicklung von Cybersicherheitsrichtlinien, die Zuweisung von Verantwortlichkeiten, die Durchführung von Risikobewertungen und die Bereitstellung der erforderlichen Ressourcen. Seine Kernkomponenten sollen sicherstellen, dass die Einrichtung proaktiv mit Cybersicherheitsrisiken umgeht, klare Rollen und Verantwortlichkeiten festlegt und die zum Schutz vor potenziellen Bedrohungen und Schwachstellen erforderlichen Ressourcen bereitstellen kann. Dieses System dient als grundlegender Rahmen für den fortlaufenden Schutz und die Widerstandsfähigkeit der Vermögenswerte der Organisation angesichts der sich entwickelnden Cyber-Bedrohungen.

Mindest- und erweiterte Cybersicherheitskontrollen

Einrichtungen mit kritischer und erheblicher Auswirkung werden die Mindest-Cybersicherheitskontrollen im Rahmen des Bereichs mit erheblicher Auswirkung anwenden, während Einrichtungen mit kritischer Auswirkung die erweiterten Cybersicherheitskontrollen im Rahmen des Bereichs mit kritischer Auswirkung anwenden werden.

Mapping-Matrix

Die in den Buchstaben a und b von (NCCS Artikel 28 Absatz 1) definierten Kontrollen dienen als Matrix, um die Einhaltung ausgewählter europäischer und internationaler Normen sowie einschlägiger technischer Spezifikationen, einschließlich der geltenden nationalen Normen gemäß (Richtlinie (EU) 2022/2555 Artikel 5), zu gewährleisten.

ACHTUNG: Eine vorläufige Liste von europäischen und internationalen Normen und Kontrollen wird bis zum 13. Juni 2025 veröffentlicht. Die Umsetzung wird auf freiwilliger Basis erfolgen und kann Organisationen darauf vorbereiten, Mindest- und erweiterte Kontrollen durchzuführen. Organisationen mit kritischer und erheblicher Auswirkung werden Mindest-Cybersicherheitskontrollen innerhalb des Bereichs mit erheblicher Auswirkung und erweiterte Cybersicherheitskontrollen innerhalb des Bereichs mit kritischer Auswirkung anwenden.

Organisationen können bei der zuständigen Behörde eine Befreiung von der Verpflichtung zur Durchführung von Mindest- und erweiterten Cybersicherheitskontrollen beantragen.

Die zuständige Behörde kann eine solche Befreiung gewähren, wenn die Organisation:

- nachweisen kann, dass die Kosten für die Implementierung geeigneter Cybersicherheitskontrollen den Nutzen deutlich übersteigen; oder

- legt einen Plan zur Risikobewertung auf Organisationsebene vor, der die Cybersicherheitsrisiken unter Verwendung alternativer Kontrollmaßnahmen auf ein akzeptables Niveau reduziert, in Übereinstimmung mit den Risikoakzeptanzkriterien. Die zuständige Behörde hat dann drei Monate Zeit, um zu entscheiden, ob die Ausnahme von den Mindest- und erweiterten Cybersicherheitskontrollen gewährt werden kann.

Die Ausnahmen werden für einen Zeitraum von bis zu drei Jahren gewährt, mit der Möglichkeit einer Verlängerung.