### Meldung von Cyberangriffen

Der folgende Abschnitt beschreibt den Prozess der Meldung eines Cyberangriffs.

Cyberangriff

Ein Sicherheitsvorfall im Sinne von Artikel 3 Absatz 14 der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates über die Sicherheit von Netzwerken und Informationssystemen.

Ein bösartiger Begriff aus dem Bereich der Informations- und Kommunikationstechnologie: Vorfall, bei dem ein Angreifer versucht, einen Vermögenswert zu zerstören, offenzulegen, zu verändern, zu deaktivieren, zu stehlen, sich unbefugten Zugriff darauf zu verschaffen oder ihn unbefugt zu nutzen.

Der meldepflichtige Cyberangriff

Jede Organisation mit kritischer oder erheblicher Auswirkung muss unverzüglich, spätestens jedoch vier Stunden, nachdem sie Kenntnis von einem meldepflichtigen Cyberangriff erlangt hat, relevante Informationen über den meldepflichtigen Cyberangriff an ihre CSIRTs und zuständige Behörde weitergeben, gemäß (NCCS Artikel 38 Absatz 2).

Gemäß (NCCS Artikel 38 Absatz 3) gelten Informationen im Zusammenhang mit einem Cyberangriff als meldepflichtig, wenn die betroffene Organisation auf der Grundlage der Klassifizierungsskala (NCCS Artikel 37 Absatz 8) die Schwere des Angriffs als „erheblich“ bis „kritisch“ eingestuft wird. Die Einstufung von Sicherheitsvorfällen wird von der in Absatz 1(c) benannten zentralen Kontaktstelle der Organisation mitgeteilt.

Klicken Sie auf das Bild, um es zu vergrössern.
Klassifizierung von Ereignissen

Die Übertragungsnetzbetreiber entwickeln mit Unterstützung des Strommarktes ENTSO-E und in Zusammenarbeit mit den EU-Verteilernetzbetreibern bis zum 13. Juni 2025 eine Methodik für die Klassifizierungsskala von Cyberangriffen (NCCS Artikel 37)

Die Methodik kategorisiert die Schwere von Cyberangriffen in fünf Stufen, wobei die beiden höchsten Stufen „erheblich“ und „kritisch“ sind. Die Klassifizierung basiert auf der Bewertung der folgenden Parameter:

- die potenziellen Auswirkungen unter Berücksichtigung der exponierten Vermögenswerte und Bereiche, die gemäß Buchstabe c) NCCS Artikel 26 Absatz 4 ermittelt wurden; und

- die Schwere eines Cyberangriffs

Cyberangriffe, die von einer Organisation als bösartig eingestuft werden, erhebliche Auswirkungen auf den grenzüberschreitenden Stromfluss haben können und sich bereits in einem fortgeschrittenen Stadium der Angriffskette befinden (Einstufung „erheblich“ oder „kritisch“), müssen innerhalb von vier Stunden dem CSIRT und der zuständigen Behörde gemeldet werden.

#### Meldung eines Cyberangriffs

Wenn eine zuständige Behörde Informationen über einen meldepflichtigen Cyberangriff erhält, muss diese zuständige Behörde (NCCS Artikel 37 Absatz 1):

(a) den Grad der Vertraulichkeit dieser Informationen bewerten und die Organisation unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Erhalt der Informationen, über das Ergebnis ihrer Bewertung informieren;

(b) versuchen, andere ähnliche Cyberangriffe in der Union zu finden, die anderen zuständigen Behörden gemeldet wurden, um die im Zusammenhang mit dem meldepflichtigen Cyberangriff erhaltenen Informationen mit den im Zusammenhang mit anderen Cyberangriffen bereitgestellten Informationen zu korrelieren und die vorhandenen Informationen zu ergänzen, die Reaktionen auf Cybersicherheit zu verstärken und zu koordinieren;

(c) ist für die Entfernung von Geschäftsgeheimnissen und die Anonymisierung der Informationen gemäß den einschlägigen nationalen und Unionsvorschriften verantwortlich;

(d) die Informationen unverzüglich, spätestens jedoch 24 Stunden nach Erhalt einer meldepflichtigen Cyberattacke, an die nationalen zentralen Kontaktstellen, CSIRTs und alle gemäß Artikel 4 benannten zuständigen Behörden in anderen Mitgliedstaaten weiterleiten und diesen Behörden oder Stellen regelmäßig aktualisierte Informationen zur Verfügung stellen;

(e) die Informationen über den Cyberangriff nach Anonymisierung und Entfernung von Geschäftsgeheimnissen gemäß Absatz 1 Buchstabe c unverzüglich und spätestens 24 Stunden nach Erhalt der Informationen gemäß Absatz 1 Buchstabe a an die von kritischer und erheblicher Ausnwirkung betroffenen Organisationin seinem Mitgliedstaat weitergeben und regelmäßig aktualisierte Informationen bereitstellen, damit die Organisationen ihre Abwehrmaßnahmen wirksam organisieren können;

(f) kann die meldende Organisation mit erheblicher oder kritischer Auswirkung auffordern, die meldepflichtigen Informationen über Cyberangriffe auf sichere Weise an andere möglicherweise betroffene Organisationen weiterzugeben, um ein Situationsbewusstsein im Elektrizitätssektor zu schaffen und die Verwirklichung eines Risikos zu verhindern, das zu einem grenzüberschreitenden Cybersicherheitsvorfall im Elektrizitätsbereich eskalieren könnte;

(g) ENISA nach Anonymisierung und Entfernung von Geschäftsgeheimnissen einen zusammenfassenden Bericht mit den Informationen über den Cyberangriff übermitteln.

Klicken Sie auf das Bild, um es zu vergrößern.