### Methoden zur Bewertung von Cybersicherheitsrisiken

Artikel 18 des NCCS behandelt die Methodik zur Cybersicherheits-Risikobewertung.

Zeitleiste | Stufen
--- | ---
Der Prozess zur Bewertung der Cybersicherheitsrisiken wird im März 2025 beginnen, wenn ENTSO-E und die EU-DSO-Organisationen in Absprache mit der NIS-Kooperationsgruppe die Bewertungsmethoden entwickeln werden. | Union Regional Mitgliedstaaten

Risikobewertungsmethode

Die Methoden zur Bewertung von Cybersicherheitsrisiken auf EU-, regionaler und Mitgliedstaatenebene umfassen Folgendes:

a) Die Liste der zu untersuchenden Cyber-Bedrohungen, einschließlich mindestens der folgenden Bedrohungen, die die Lieferkette betreffen:

- schwere und unerwartete Störung der Lieferkette

- Fehlen des IKT-Produkte, IKT-Dienstleistungen oder IKT-Prozesse in der Lieferkette.

- Cyberangriffe, die über Teilnehmer der Lieferkette initiiert werden;

- Weitergabe sensibler Informationen über die Lieferkette, einschließlich der Nachverfolgung der Lieferkette;

- die Einführung von Schwachstellen oder Hintertüren in IKT-Produkten, IKT-Dienstleistungen oder IKT-Prozessen durch Akteure der Lieferkette.

b) Kriterien zur Bewertung der hohen oder kritischen Auswirkungen von Cybersicherheitsrisiken unter Verwendung des definierten Schwellenwerte für Folgen und Wahrscheinlichkeit;

c) Ein Ansatz zur Analyse von Cybersicherheitsrisiken, die sich aus dem Begriff „legacy” (veraltete Systeme), den Kaskadeneffekten von Cyberangriffen und der Echtzeit-Natur der Systeme, die das Netzwerk betreiben, ergeben.

d) Ein Ansatz zur Analyse von Cybersicherheitsrisiken, die sich aus der Abhängigkeit von einem einzigen Anbieter von IKT-Produkten, IKT-Dienstleistungen oder IKT-Prozessen ergeben.

Matrix der Risikoauswirkungen

NCCS Artikel 18 Absatz 2

a) Die Folgen von Cyberangriffen anhand der folgenden Kriterien bewerten:

1. Lastverlust;

2. Reduzierung der Stromerzeugung;

3. Verlust von Kapazität in der Primärfrequenzreserve;

4. Verlust an Kapazität zur Wiederherstellung des Betriebs eines Elektrizitätsnetzes ohne Rückgriff auf das externe Übertragungsnetz nach einem vollständigen oder teilweisen Ausfall (sogenannter ‚Black Start‘)“

5. die voraussichtliche Dauer eines Stromausfalls, von dem Kunden betroffen sind, in Verbindung mit dem Ausmaß des Ausfalls in Bezug auf die Anzahl der Kunden; und

6. alle anderen quantitativen oder qualitativen Kriterien, die vernünftigerweise als Indikator für die Auswirkungen eines Cyberangriffs auf grenzüberschreitende Stromflüsse dienen könnten;

b) Die Wahrscheinlichkeit eines Vorfalls wird als Häufigkeit von Cyberangriffen pro Jahr gemessen.

Die Methoden zur Bewertung von Cybersicherheitsrisiken auf EU-Ebene, regionaler Ebene und auf Ebene der Mitgliedstaaten bewerten Cybersicherheitsrisiken unter Verwendung desselben Riskoauswirkungsmatrix.