EUROPÄISCHE KOMMISSION Brüssel, den 4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die „EU-Cybersicherheitsagentur“ (ENISA) und zur Aufhebung der Verordnung (EU) Nr. 526/2013 sowie über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik („Rechtsakt zur Cybersicherheit“) (Text von Bedeutung für den EWR) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



BEGRÜNDUNG 1.KONTEXT DES VORSCHLAGS •Gründe und Ziele des Vorschlags Die Europäische Union hat bereits eine Reihe von Maßnahmen zur Erhöhung der Abwehrfähigkeit und zur Verbesserung ihrer Abwehrbereitschaft im Bereich der Cybersicherheit getroffen. In der ersten EU-Cybersicherheitsstrategie aus dem Jahr 2013 wurden strategische Ziele und konkrete Maßnahmen festgelegt, um die Abwehrfähigkeit zu verbessern, die Cyberkriminalität zu verringern, ein politisches Konzept und Fähigkeiten für die Cyberabwehr auszuarbeiten, industrielle und technische Ressourcen zu entwickeln und eine kohärente internationale Cyberraumpolitik für die EU auszuarbeiten. Seither gab es in diesem Bereich wichtige Entwicklungen, insbesondere das zweite Mandat für die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) und die Verabschiedung der Richtlinie über die Sicherheit von Netz- und Informationssystemen (im Folgenden die „NIS-Richtlinie“), die die Grundlage für den vorliegenden Vorschlag bilden. Außerdem hat die Europäische Kommission im Jahr 2016 eine Mitteilung „Stärkung der Abwehrfähigkeit Europas im Bereich der Cybersicherheit und Förderung einer wettbewerbsfähigen und innovativen Cybersicherheitsbranche“ verabschiedet, in der weitere Maßnahmen angekündigt wurden, um die Zusammenarbeit und die Weitergabe von Wissen und Informationen zu intensivieren und um die Abwehrfähigkeit und die Abwehrbereitschaft der EU zu stärken, wobei auch die Möglichkeit massiver Sicherheitsvorfälle und einer gesamteuropäischen Cybersicherheitskrise berücksichtigt wurde. In diesem Zusammenhang kündigte die Kommission an, dass sie die Bewertung und Überprüfung der Verordnung (EU) Nr. 526/2013 des Europäischen Parlaments und des Rates über die ENISA und zur Aufhebung der Verordnung (EG) Nr. 460/2004 (im Folgenden die „ENISA-Verordnung“) vorziehen würde. Das Bewertungsverfahren könne zu einer Reform der Agentur und zu einer Stärkung ihrer Fähigkeiten und Kapazitäten, die Mitgliedstaaten auf nachhaltige Weise zu unterstützen, führen. Die Agentur würde daher eine stärkere operative und zentrale Funktion bei der Verwirklichung der Abwehrfähigkeit gegenüber Cyberangriffen erhalten, und in ihrem neuen Mandat würden die in der NIS-Richtlinie begründeten neuen Zuständigkeiten der Agentur anerkannt werden. Die NIS-Richtlinie ist ein erster wesentlicher Schritt zur Förderung einer Kultur des Risikomanagements, da durch sie Sicherheitsanforderungen eingeführt wurden, zu deren Einhaltung die zentralen Wirtschaftsakteure, insbesondere Betreiber wesentlicher Dienste (Betreiber wesentlicher Dienste - BWD) und Anbieter bestimmter wichtiger digitaler Dienste (Anbieter digitaler Dienste - ADD) rechtlich verpflichtet sind. Da Sicherheitsanforderungen für die Wahrung der Vorteile der fortschreitenden Digitalisierung der Gesellschaft als wesentlich angesehen werden und die Verbreitung von vernetzten Geräten (Internet der Dinge (IoT) rasch fortschreitet, wurde in der Mitteilung von 2016 auch die Idee vorgebracht, einen Rahmen für die Zertifizierung der Sicherheit von IKT-Produkten und -Diensten festzulegen, um das Vertrauen in den digitalen Binnenmarkt und seine Sicherheit zu stärken. Mit Blick auf die vermehrte Nutzung von Technologien, die ein hohes Maß an Cybersicherheit erfordern, z. B. vernetzte und selbstfahrende Autos, elektronische Gesundheitssysteme oder industrielle Automatisierungssteuerungssysteme (Industrial Automation Control Systems – IACS), erhält die IKT-Cybersicherheitszertifizierung eine besondere Relevanz. Die genannten politischen Maßnahmen und Ankündigungen wurden in den Schlussfolgerungen des Rates von 2016 erneut bekräftigt, in denen festgestellt wurde, dass „Cyberbedrohungen und Angriffsflächen für Cyberattacken sich weiterentwickeln und zunehmen, weshalb insbesondere zur Bewältigung schwerwiegender grenzüberschreitender Cybervorfälle eine ständige und noch engere Zusammenarbeit erforderlich ist“. In den Schlussfolgerungen wurde erneut bekräftigt, dass „die ENISA-Verordnung eines der Kernelemente der Widerstandsfähigkeit gegenüber Cyberangriffen in der EU“ ist, und die Kommission wurde aufgefordert, weitere Schritte zu unternehmen, um die Frage der Zertifizierung auf europäischer Ebene anzugehen. Die Einführung eines Zertifizierungssystems würde die Schaffung eines geeigneten Governance-Systems auf EU-Ebene voraussetzen, zu dem auch die Fachkompetenz einer unabhängigen EU-Agentur beitragen könnte. Diesbezüglich wird die ENISA im vorliegenden Vorschlag als die sich dafür anbietende EU-Einrichtung mit Kompetenz in Cybersicherheitsfragen genannt, die eine solche Rolle übernehmen sollte, um die zuständigen nationalen Stellen im Bereich der Zertifizierung zusammenzuführen und ihre Arbeit zu koordinieren. In ihrer Mitteilung zur Halbzeitüberprüfung der Strategie für einen digitalen Binnenmarkt vom Mai 2017 hat die Kommission weiter ausgeführt, dass sie bis September 2017 das ENISA-Mandat überprüfen würde. Im Rahmen der Überprüfung sollte ihre Rolle im veränderten Cybersicherheitsökosystem festgelegt und sollten Maßnahmen für die Normierung, Zertifizierung und Kennzeichnung der Cybersicherheit entwickelt werden, um die Cybersicherheit von IKT-basierten Systemen, einschließlich vernetzter Objekte, zu verbessern. In den Schlussfolgerungen des Europäischen Rates vom Juni 2017 wurde die Absicht der Kommission begrüßt, die Cybersicherheitsstrategie im September zu überprüfen und vor Jahresende weitere gezielte Maßnahmen vorzuschlagen. Der Verordnungsvorschlag sieht ein umfassendes Bündel von Maßnahmen vor, die auf früheren Maßnahmen aufbauen und sich gegenseitig verstärkende Ziele fördern: ·Ausbau der Kapazitäten und der Abwehrbereitschaft der Mitgliedstaaten und Unternehmen ·Verbesserung der Zusammenarbeit und der Koordinierung zwischen den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der EU ·Ausbau der Kapazitäten auf EU-Ebene, um die Maßnahmen der Mitgliedstaaten zu ergänzen, insbesondere im Fall von grenzüberschreitenden Cyberkrisen ·Stärkere Sensibilisierung der Bürger und Unternehmen für Fragen der Cybersicherheit ·Verbesserung der allgemeinen Transparenz bei den Angaben zur Vertrauenswürdigkeit der bescheinigten Cybersicherheit von IKT-Produkten und Diensten, um das Vertrauen in den digitalen Binnenmarkt und in digitale Innovationen zu stärken, und ·Vermeidung eines Nebeneinanders unterschiedlicher Zertifizierungssysteme in der EU sowie der damit verbundene Anforderungen und Bewertungskriterien in den einzelnen Mitgliedstaaten und Sektoren. Im folgenden Teil der Begründung werden die Gründe für die Initiative im Hinblick auf die für die ENISA vorgeschlagenen Maßnahmen und die Zertifizierung der Cybersicherheit ausführlicher erläutert.

ENISA Die ENISA fungiert als ein Kompetenzzentrum für die Verbesserung der Netz- und Informationssicherheit in der Union und zur Unterstützung des Kapazitätsaufbaus der Mitgliedstaaten. Die ENISA wurde 2004 gegründet, um einen Beitrag zum übergeordneten Ziel der Gewährleistung einer hohen und effektiven Netz- und Informationssicherheit innerhalb der EU zu leisten. Im Jahr 2013 wurde mit der Verordnung (EU) Nr. 526/2013 das neue Mandat der Agentur für einen Zeitraum von sieben Jahren bis 2020 festgelegt. Die Agentur ist in Griechenland angesiedelt, wobei sich ihr Verwaltungssitz in Heraklion (Kreta) befindet und das Kerngeschäft von Athen aus betrieben wird. Bei der ENISA handelt es sich um eine kleine Agentur, die im Vergleich zu allen anderen Agenturen der EU über geringe Haushaltsmittel und wenig Mitarbeiter verfügt. Ihr Mandat ist befristet. Die ENISA unterstützt die europäischen Organe, die Mitgliedstaaten und die Wirtschaft dabei, Netz- und Informationssicherheitsprobleme anzugehen, zu bewältigen und insbesondere zu verhindern. Dies geschieht durch eine Reihe von Aktivitäten in fünf Bereichen, die in ihrer Strategie benannt wurden: ·Fachkompetenz: Bereitstellung von Informationen und Fachwissen zu zentralen Fragen der Netz- und Informationssicherheit ·Politik: Unterstützung der Politikgestaltung und -umsetzung in der Union ·Kapazitäten: Unterstützung des Aufbaus von Kapazitäten in der Union (z. B. durch Fortbildungen, Empfehlungen, Sensibilisierungsmaßnahmen) ·Fachkreise: Förderung der Fachkreise im Bereich der Netz- und Informationssicherheit (z. B. Unterstützung der Computer-Notfallteams (Computer Emergency Response Teams, CERTs), Koordinierung europaweiter Cyberübungen) ·Schaffung von Möglichkeiten (z. B. Zusammenarbeit mit den Interessenträgern, internationale Beziehungen). Bei den Verhandlungen über die NIS-Richtlinie beschlossen die gesetzgebenden EU-Organe, der ENISA wichtige Aufgaben bei der Durchführung dieser Richtlinie zuzuweisen. Insbesondere stellt die Agentur das Sekretariat des CSIRTs-Netzes (das eingerichtet wurde, um eine schnelle und wirksame operative Zusammenarbeit zwischen den Mitgliedstaaten bei bestimmten Cybersicherheitsvorfällen sowie den Austausch von Informationen über Risiken zu fördern), und sie wird auch herangezogen, um die Kooperationsgruppe für die strategische Zusammenarbeit bei der Wahrnehmung ihrer Aufgaben zu unterstützen. In der NIS-Richtlinie ist ferner geregelt, dass die ENISA die Mitgliedstaaten und die Kommission mit Fachkompetenz, als Berater und als Mittler für den Austausch bewährter Verfahren unterstützen muss. Im Einklang mit der ENISA-Verordnung hat die Kommission eine Bewertung der Agentur vorgenommen, zu der eine unabhängige Studie sowie eine öffentliche Konsultation gehören. Im Rahmen der Bewertung wurden die Relevanz, Wirkung, Wirksamkeit, Effizienz und Kohärenz sowie der EU-Mehrwert der Agentur im Hinblick auf ihre Leistungen, Führung, interne Organisationsstruktur und Arbeitsmethoden im Zeitraum 2013-2016 beurteilt. Die Gesamtleistung der ENISA wurde von der Mehrheit der Teilnehmer an der öffentlichen Konsultation (74 %) positiv bewertet. Darüber hinaus vertrat die Mehrheit der Befragten die Auffassung, dass die ENISA ihre einzelnen Ziele erreicht (für jedes der Ziele waren mindestens 63 % dieser Meinung). Die Dienste und Produkte der ENISA werden von fast der Hälfte der Befragten (46 %) regelmäßig (monatlich oder häufiger) genutzt und wegen ihrer Qualität (62 %) geschätzt ebenso wie deshalb, weil sie von einer Einrichtung auf EU-Ebene (83 %) stammen. Allerdings ist die große Mehrheit (88 %) der Teilnehmer der Auffassung, dass die derzeit auf EU-Ebene verfügbaren Instrumente und Mechanismen für die Bewältigung der gegenwärtigen Herausforderungen im Bereich der Cybersicherheit nicht ausreichen oder nur zum Teil geeignet sind. Die Befragten gaben mit großer Mehrheit (98 %) an, dass eine EU-Einrichtung diesen Bedarf decken sollte, und 99 % der Teilnehmer meinten, die ENISA sei die dafür richtige Organisation. Darüber hinaus äußerten 67,5 % der Konsultationsteilnehmer die Ansicht, dass die ENISA eine Rolle bei der Festlegung eines harmonisierten Rahmens für die Sicherheitszertifizierung von IT-Produkten und Diensten spielen könnte. Die Gesamtbewertung (der nicht nur die öffentliche Konsultation, sondern auch eine Reihe von Einzelbefragungen, zusätzliche gezielte Umfragen und Workshops zugrunde lagen) kam zu folgenden Schlussfolgerungen: ·Die Ziele der ENISA sind nach wie vor relevant. Vor dem Hintergrund schneller technologischer Entwicklungen und der sich ändernden Bedrohungen und angesichts der zunehmenden weltweiten Cybersicherheitsrisiken besteht in der EU eindeutig der Bedarf, hochrangiges Fachwissen über Fragen der Cybersicherheit zu fördern und weiter zu stärken. In den Mitgliedstaaten müssen Kapazitäten aufgebaut werden, um Bedrohungen verstehen und abwehren zu können, und die Interessenträger müssen über alle Themenbereiche und Einrichtungen hinweg zusammenarbeiten. ·Trotz ihrer geringen Haushaltsmittelausstattung war die Agentur bei der Nutzung ihrer Ressourcen und bei der Wahrnehmung ihrer Aufgaben operativ effizient. Die Aufteilung zwischen Athen und Heraklion hat jedoch auch zusätzliche Verwaltungskosten entstehen lassen. ·Was die Wirksamkeit betrifft, hat die ENISA ihre Ziele teilweise erreicht. Indem sie den Aufbau von Kapazitäten in den 28 Mitgliedstaaten angeboten, die Zusammenarbeit zwischen den Mitgliedstaaten und den Interessenträgern im Bereich der Netz- und Informationssicherheit verbessert, Fachwissen bereitgestellt, Fachkreise aufgebaut und die Entwicklung von politischen Strategien unterstützt hat, hat die Agentur erfolgreich zur Verbesserung der Netz- und Informationssicherheit in Europa beigetragen. Insgesamt hat sich die ENISA mit Sorgfalt auf die Umsetzung ihres Arbeitsprogramms konzentriert und als vertrauenswürdiger Partner ihrer Interessenträger in einem Bereich gehandelt, dessen große grenzüberschreitende Relevanz erst vor Kurzem anerkannt wurde. ·Der ENISA ist es auf dem weiten Feld der Netz- und Informationssicherheit zumindest bis zu einem gewissen Grad gelungen, Wirkung zu erzielen, doch sie hat es nicht vermocht, einen starken Markennamen zu entwickeln und als das Kompetenzzentrum in Europa anerkannt zu werden. Erklären lässt sich dies durch das weit gefasste Mandat der ENISA, die nicht mit entsprechend ausreichenden Ressourcen ausgestattet war. Zudem ist die ENISA die einzige EU-Agentur mit einem befristeten Mandat, wodurch sie in der Entwicklung langfristiger Zielvorstellungen und in der nachhaltigen Unterstützung ihrer Interessenträger eingeschränkt wird. Dies steht auch im Widerspruch zu den Bestimmungen der NIS-Richtlinie, durch die die ENISA mit unbefristeten Aufgaben betraut wird. Schließlich wurde in der Bewertung festgestellt, dass sich diese begrenzte Wirksamkeit zum Teil mit der stärkeren Inanspruchnahme von externem Fachwissen als von internem Fachwissen und mit den Schwierigkeiten bei der Einstellung und Bindung von Fachkräften erklären lässt.

·Nicht zuletzt wurde in der Bewertung festgestellt, dass der Mehrwert der Agentur in erster Linie in ihrer Fähigkeit liegt, die Zusammenarbeit vor allem zwischen den Mitgliedstaaten und insbesondere mit einschlägigen Fachkreisen der Netz- und Informationssicherheit (insbesondere zwischen den CSIRTs), zu stärken. Auf EU-Ebene gibt es keinen anderen Akteur, der die Zusammenarbeit eines solchen breiten Spektrums an Interessenträgern im Bereich der Netz- und Informationssicherheit unterstützt. Da die ENISA jedoch für ihre Aktivitäten strikte Prioritäten festsetzen muss, ist ihr Arbeitsprogramm vor allem auf die Bedürfnisse der Mitgliedstaaten ausgerichtet. Die Folge davon ist, dass sie den Bedürfnissen der übrigen Interessenträger, insbesondere der Industrie, nicht ausreichend Rechnung trägt. Außerdem führte dies dazu, dass die Agentur darum bemüht war, den Bedürfnissen ihrer zentralen Interessenträger gerecht zu werden, wodurch sie daran gehindert wurde, eine größere Wirkung zu erzielen. Der Mehrwert der Agentur war daher je nach den verschiedenen Bedürfnissen ihrer Interessenträger und je nachdem, inwieweit die Agentur in der Lage war, darauf zu reagieren, unterschiedlich (z. B. große/kleine Mitgliedstaaten, Mitgliedstaaten/Industrie). Zusammenfassend ließen die Ergebnisse der Konsultationen der Interessenträger und der Bewertung den Schluss zu, dass die Ressourcen und das Mandat der ENISA angepasst werden müssen, damit sie eine angemessene Rolle bei der Bewältigung der derzeitigen und künftigen Herausforderungen spielen kann. Angesichts dieser Ergebnisse sieht der vorliegende Vorschlag eine Überarbeitung des aktuellen Mandats der ENISA sowie neue Aufgaben und Funktionen für die Agentur vor, um die Mitgliedstaaten, die EU-Organe und die Bemühungen anderer Interessenträger wirksam und effizient zu unterstützen, damit ein sicherer Cyberraum in der Europäischen Union gewährleistet wird. Durch das vorgeschlagene neue Mandat soll die Agentur eine stärkere Rolle spielen und stärker im Mittelpunkt stehen, insbesondere indem sie auch den Mitgliedstaaten bei der Umsetzung der NIS-Richtlinie und bei der Bekämpfung besonderer Gefahren (operative Kapazität) aktiver hilft und indem sie zu einem Kompetenzzentrum wird, das die Mitgliedstaaten und die Kommission bei der Cybersicherheitszertifizierung unterstützt. Im vorliegenden Vorschlag ist Folgendes vorgesehen: ·Die ENISA würde ein ständiges Mandat und damit eine stabile Grundlage für die Zukunft erhalten. Das neue Mandat, die Ziele und Aufgaben sollen dennoch regelmäßig überprüft werden. ·Das vorgeschlagene Mandat präzisiert die Rolle der ENISA als EU-Cybersicherheitsagentur und als Referenz im EU Cybersicherheitsökosystem und sieht vor, dass die Agentur in enger Zusammenarbeit mit allen anderen einschlägigen Stellen eines solchen Ökosystems handelt. ·Die Organisation und die Führung der Agentur, die im Rahmen der Bewertung positiv beurteilt wurden, würden moderat geändert werden, insbesondere um sicherzustellen, dass sich die Bedürfnisse der breiteren Kreise der Interessenträger besser in der Arbeit der Agentur widerspiegeln. ·Der vorgeschlagene Zuständigkeitsbereich des Mandats ist genau abgegrenzt, wobei die Bereiche gestärkt werden, in denen die Agentur einen eindeutigen Mehrwert unter Beweis gestellt hat, und neue Bereiche hinzugefügt werden, in denen Unterstützung im Hinblick auf die neuen politischen Prioritäten und Instrumente benötigt wird, insbesondere im Hinblick auf die NIS-Richtlinie, die Überprüfung der EU-Cybersicherheitsstrategie, den angekündigten EU-Konzeptentwurf für Cybersicherheit für die Zusammenarbeit bei Cyberkrisen und die IKT-Sicherheitszertifizierung. ·Entwicklung und Umsetzung der EU-Politik: Die ENISA würde damit beauftragt werden, proaktiv zur Entwicklung der Politik im Bereich der Netz- und Informationssicherheit und zu anderen politischen Initiativen mit Cybersicherheitselementen in verschiedenen Sektoren (z. B. Energie, Verkehr, Finanzen) beizutragen. Zu diesem Zweck würde sie eine ausgeprägte Beratungsfunktion haben, die sie durch unabhängige Stellungnahmen sowie Vorarbeiten für die Entwicklung und Aktualisierung der Politik und des Rechts wahrnehmen könnte. Die ENISA würde auch die EU-Politik und das EU-Recht in den Bereichen elektronische Kommunikation, elektronische Identität und Vertrauensdienste unterstützen, um ein höheres Cybersicherheitsniveau zu fördern. In der Umsetzungsphase, vor allem im Zusammenhang mit der NIS-Kooperationsgruppe, würde die ENISA die Mitgliedstaaten dabei unterstützen, für die Umsetzung der NIS-Richtlinie einen Ansatz zu finden, der grenz- und sektorenübergreifend sowie mit anderen einschlägigen Strategien und Rechtsvorschriften kohärent ist. Im Interesse einer regelmäßigen Überprüfung der Strategien und Rechtsvorschriften im Bereich der Cybersicherheit würde die ENISA auch regelmäßig über den Stand der Umsetzung des EU-Rechtsrahmens Bericht erstatten. ·Aufbau von Kapazitäten: Die ENISA würde einen Beitrag zur Verbesserung der Fähigkeiten und Fachkompetenzen der EU-Behörden sowie der nationalen Behörden leisten, was auch die Reaktion auf Sicherheitsvorfälle und die Überwachung der cybersicherheitsbezogenen Regulierungsmaßnahmen einschließt. Außerdem müsste die Agentur zum Aufbau von Informationsaustausch- und analysezentren (ISAC) in verschiedenen Sektoren beitragen, indem sie bewährte Verfahren bereitstellt, die verfügbaren Instrumente und Verfahren erläutert und sich in geeigneter Weise mit Regulierungsfragen im Zusammenhang mit dem Informationsaustausch befasst. ·Wissen und Information, Sensibilisierung: Die ENISA würde zum „Informationsdrehkreuz“ der EU werden. Dies würde die Förderung und den Austausch bewährter Verfahren und Initiativen in der gesamten EU durch die Zusammenführung von Informationen zur Cybersicherheit umfassen, die von den Organen, Einrichtungen und sonstigen Stellen der EU und der Einzelstaaten stammen. Die Agentur würde auch zum Thema „Sicherheit kritischer Infrastrukturen“ Beratungsleistungen, Orientierungshilfen und bewährte Verfahren zur Verfügung stellen. Ferner würde die ENISA nach signifikanten grenzüberschreitenden Cybersicherheitsvorfällen Berichte erstellen, um Unternehmen und Bürgern in der EU Orientierungshilfen zu geben. Zu diesem Arbeitsschwerpunkt würde auch die regelmäßige Durchführung von Sensibilisierungsmaßnahmen in Abstimmung mit den Behörden der Mitgliedstaaten gehören. ·Marktbezogene Aufgaben (Normung, Cybersicherheitszertifizierung): Die ENISA würde eine Reihe von Aufgaben wahrnehmen, die speziell den Binnenmarkt unterstützen und eine Cybersicherheits-„Marktbeobachtungsstelle“ umfassen; dazu würde sie einschlägige Trends auf dem Cybersicherheitsmarkt analysieren, um Angebot und Nachfrage besser aufeinander abzustimmen, und die Entwicklung der EU-Politik in den Bereichen IKT-Normung und IKT-Cybersicherheitszertifizierung unterstützen. Speziell im Bereich der Normung würde sie die Ausarbeitung und Einführung von Cybersicherheitsnormen fördern. Zudem würde die ENISA Aufgaben wahrnehmen, die im Zusammenhang mit dem künftigen Zertifizierungsrahmen geplant sind (siehe folgenden Abschnitt). ·Forschung und Innovation: Die ENISA würde ihre Fachkompetenz durch die Beratung der EU und der nationalen Behörden bei der Festsetzung von Prioritäten in der Forschung und Entwicklung einbringen, auch im Rahmen der vertraglichen öffentlich-privaten Partnerschaft zur Cybersicherheit. Die Beratungsleistung der ENISA würde in das neue Europäische Forschungs- und Kompetenzzentrum für Cybersicherheit im Rahmen des nächsten mehrjährigen Finanzrahmens einfließen. Auf Anfrage der Kommission wäre die ENISA ebenfalls an der Umsetzung von EU-Förderprogrammen für Forschung und Innovation beteiligt. ·Operative Zusammenarbeit und Krisenmanagement: Diesem Arbeitsschwerpunkt sollte Folgendes zugrunde liegen: die Stärkung der bestehenden präventiven operativen Fähigkeiten, insbesondere der Ausbau der europaweiten Übungen zur Cybersicherheit (CyberEurope) dadurch, dass sie jährlich abgehalten werden, und eine unterstützende Rolle bei der operativen Zusammenarbeit durch die Wahrnehmung der Sekretariatsgeschäfte des CSIRTs-Netzes (gemäß der NIS-Richtlinie), indem u. a. sichergestellt wird, dass die IT-Infrastruktur und die Kommunikationskanäle des CSIRTs-Netzes gut funktionieren. In diesem Zusammenhang wäre eine strukturierte Zusammenarbeit mit dem CERT-EU, dem Europäischen Zentrum zur Bekämpfung der Cyberkriminalität (EC3) und anderen maßgeblichen EU-Einrichtungen erforderlich. Zudem sollte eine strukturierte Zusammenarbeit mit dem CERT-EU in enger räumlicher Nähe die Erbringung technischer Hilfe im Falle signifikanter Sicherheitsvorfälle und die Unterstützung der Analyse von Sicherheitsvorfällen ermöglichen. Anfragende Mitgliedstaaten würden bei der Bewältigung von Sicherheitsvorfällen sowie bei der Analyse von Anfälligkeiten, Artefakten und Sicherheitsvorfällen unterstützt werden, damit sie ihre eigenen Präventions- und Reaktionsfähigkeiten stärken können. ·Die ENISA würde auch bei dem EU-Konzeptentwurf für Cybersicherheit, der als Teil des Pakets vorgelegt wurde, und bei der Ausarbeitung der Empfehlung der Kommission an die Mitgliedstaaten für eine koordinierte Reaktion auf grenzüberschreitende Cybersicherheitsvorfälle und -krisen großen Ausmaßes auf EU-Ebene eine Rolle spielen. Die ENISA würde die Zusammenarbeit zwischen den einzelnen Mitgliedstaaten bei der Reaktion auf Notfälle durch die Analyse und Aggregierung der nationalen Lageberichte auf der Grundlage der Informationen, die der Agentur von den Mitgliedstaaten und anderen Einrichtungen auf freiwilliger Basis zur Verfügung gestellt werden, erleichtern. ·Zertifizierung der Cybersicherheit von IKT-Produkten und -Diensten Um Vertrauen und Sicherheit herzustellen und zu wahren, müssen bei IKT-Produkten und Diensten Sicherheitsmerkmale unmittelbar in der Frühphase ihrer technischen Konzeption und Entwicklung eingebaut werden („security by design“ – eingebaute Sicherheit). Außerdem müssen Kunden und Nutzer feststellen können, welche Vertrauenswürdigkeitsstufe die von ihnen beschafften oder gekauften Produkte und Dienste haben. Die Zertifizierung, die in der förmlichen Evaluierung von Produkten, Diensten und Prozessen durch eine unabhängige und akkreditierte Stelle anhand bestimmter definierter Kriterien und Normen und in der Ausstellung einer Bescheinigung besteht, aus der die Übereinstimmung mit ihnen hervorgeht, spielt eine wichtige Rolle dabei, das Vertrauen in Produkte und Dienste zu stärken und ihre Sicherheit zu erhöhen. Auch wenn Sicherheitsevaluierungen ziemlich technisch sind, so dient die Zertifizierung doch dazu, Käufer und Nutzer über die Sicherheitseigenschaften der IKT-Produkte und Dienste, die sie kaufen oder verwenden, zu informieren und etwaige diesbezügliche Bedenken auszuräumen. Wie vorstehend ausgeführt, ist dies besonders relevant für neue Systeme, die die digitale Technik ausgiebig nutzen und ein hohes Maß an Sicherheit erfordern, wie z. B. vernetzte und selbstfahrende Autos, elektronische Gesundheitsdienste, industrielle Automatisierungssteuerungssysteme (Industrial Automation Control Systems – IACS) und intelligente Netze. Derzeit ist die Lage hinsichtlich der Cybersicherheitszertifizierung von IKT-Produkten und Diensten in der EU sehr uneinheitlich. Es gibt eine Reihe internationaler Initiativen, z. B. die sogenannten Common Criteria (CC) for Information Technology Security Evaluation (ISO 15408) – eine internationale Norm für die Evaluierung der IT-Sicherheit. Sie beruht auf der Evaluierung durch Dritte und sieht sieben Vertrauenswürdigkeitsstufen (Evaluation Assurance Levels, EAL) vor. Die CC und die begleitende gemeinsame Methodik für die Evaluierung der Sicherheit von Informationstechnologien (Methodology for Information Technology Security Evaluation, CEM) bilden die technische Grundlage für ein internationales Abkommen über die Anerkennung der CC (Common Criteria Recognition Arrangement, CCRA), durch das sichergestellt wird, dass CC-Zertifikate von allen Unterzeichnern des CCRA anerkannt werden. Gemäß der aktuellen Fassung des CCRA werden jedoch nur Evaluierungen bis zur Stufe EAL 2 gegenseitig anerkannt. Außerdem haben nur 13 Mitgliedstaaten das Abkommen unterzeichnet. Die Zertifizierungsbehörden von 12 Mitgliedstaaten haben ein Abkommen über die gegenseitige Anerkennung der Zertifikate geschlossen, die in Übereinstimmung mit dem Abkommen auf der Grundlage der CC ausgestellt wurden. Darüber hinaus gibt es in den Mitgliedstaaten bereits mehrere IKT-Zertifizierungsinitiativen oder es werden solche gerade auf den Weg gebracht. Wenngleich diese Initiativen wichtig sind, bergen sie doch die Gefahr einer Marktfragmentierung und können Interoperabilitätsprobleme verursachen. Dies hat zur Folge, dass ein Unternehmen unter Umständen mehrere Zertifizierungsverfahren in verschiedenen Mitgliedstaaten durchlaufen muss, um sein Produkt auf mehreren Märkten anbieten zu können. So muss beispielsweise ein Hersteller intelligenter Stromzähler, der seine Produkte in drei Mitgliedstaaten, etwa in Deutschland, Frankreich und im Vereinigten Königreich, verkaufen möchte, derzeit die Anforderungen von drei verschiedenen Zertifizierungssystemen erfüllen. Diese Systeme sind das System „Commercial Product Assurance“ (CPA) im Vereinigten Königreich, das System „Certification de Sécurité de Premier Niveau“ (CSPN) in Frankreich und ein auf den CC beruhendes spezielles Schutzprofil in Deutschland.

Diese Situation führt zu höheren Kosten und bedeutet für Unternehmen, die in mehreren Mitgliedstaaten tätig sind, einen erheblichen Verwaltungsaufwand. Auch wenn die Zertifizierungskosten in Abhängigkeit von dem jeweiligen Produkt/Dienst, der angestrebten Vertrauenswürdigkeitsstufe und/oder anderen Komponenten sehr unterschiedlich sein können, sind sie für die Unternehmen in der Regel relativ hoch. Die Smart-Meter-Gateway-Zertifizierung durch das BSI kostet beispielsweise mehr als 1 Mio. EUR (höchste Prüf- und Vertrauenswürdigkeitsstufe, bei der nicht nur ein Produkt, sondern auch die gesamte umgebende Infrastruktur geprüft wird). Die Kosten für die Zertifizierung intelligenter Zähler im Vereinigten Königreich belaufen sich auf knapp 150 000 EUR. In Frankreich sind die Kosten mit denen im Vereinigten Königreich vergleichbar: ca. 150 000 EUR oder mehr. Wichtige öffentliche und privaten Interessenträger haben festgestellt, dass ohne ein EU-weites Zertifizierungssystem für die Cybersicherheit Unternehmen in vielen Fällen in jedem einzelnen Mitgliedstaat eine Zertifizierung durchlaufen müssen, was zu einer Fragmentierung des Marktes führt. Besonders hervorzuheben ist, dass ohne EU-Harmonisierungsrechtsvorschriften für IKT-Produkte und -Dienste Unterschiede bei den Normen und Praktiken im Bereich der Cybersicherheitszertifizierung in den Mitgliedstaaten dazu führen können, dass in der EU in der Praxis 28 getrennte Sicherheitsmärkte mit jeweils eigenen technischen Anforderungen, Prüfverfahren und Cybersicherheitszertifizierungsverfahren entstehen. Diese divergierenden nationalen Ansätze können, falls keine geeigneten Maßnahmen auf EU-Ebene ergriffen werden, einen erheblichen Rückschlag für die Verwirklichung des digitalen Binnenmarkts zur Folge haben und die damit verbundenen positiven Auswirkungen auf Wachstum und Beschäftigung verlangsamen oder gar nicht erst aufkommen lassen. Ausgehend von den vorstehend genannten Entwicklungen wird mit der vorgeschlagenen Verordnung ein europäischer Rahmen für die Cybersicherheitszertifizierung von IKT-Produkten und -Diensten („der Rahmen“) geschaffen und werden die wesentlichen Funktionen und Aufgaben der ENISA im Bereich der Cybersicherheitszertifizierung festgelegt. Der vorliegende Vorschlag enthält ein umfassendes Rahmenregelwerk für europäische Cybersicherheitszertifizierungssysteme. Mit ihm werden keine unmittelbar operativen Zertifizierungssysteme eingeführt, sondern es wird vielmehr ein System (ein Rahmen) für die Ausarbeitung spezifischer Zertifizierungssysteme für bestimmte IKT-Produkte/-Dienste (im Folgenden „europäische Systeme für die Cybersicherheitszertifizierung“) geschaffen. Dadurch, dass europäische Systeme für die Cybersicherheitszertifizierung im Einklang mit dem Rahmen geschaffen werden, werden die auf der Grundlage dieser Systeme ausgestellten Zertifikate in allen Mitgliedstaaten gültig sein und anerkannt werden; außerdem wird dadurch der derzeit bestehenden Marktfragmentierung entgegengewirkt. Genereller Zweck eines europäischen Systems für die Cybersicherheitszertifizierung ist es, zu bescheinigen, dass IKT-Produkte und Dienste, die gemäß diesem System zertifiziert wurden, bestimmte Cybersicherheitsanforderungen erfüllen. Dies würde z. B. den von ihnen gebotenen Schutz der Daten (unabhängig davon, ob diese gespeichert, übermittelt oder auf sonstige Weise verarbeitet werden) vor zufälligen oder unberechtigten Speicherungs-, Verarbeitungs-, Zugangs-, Offenlegungs- und Vernichtungsvorgängen und vor zufälligen Verlusten oder Veränderungen umfassen. EU-Systeme für die Cybersicherheitszertifizierung würden hinsichtlich der technischen Anforderungen, die die Produkte erfüllen müssen, und hinsichtlich der entsprechenden Evaluierungsverfahren auf vorhandene Normen zurückgreifen und die technischen Normen nicht selbst entwickeln. Eine EU-weite Zertifizierung von Produkten wie Chipkarten, die derzeit anhand internationaler CC-Normen im Rahmen des (vorstehend beschriebenen) multilateralen SOG-IS-Systems geprüft werden, würde beispielsweise bedeuten, dass dieses System in der gesamten EU Gültigkeit erlangen würde. In dem Vorschlag werden nicht nur bestimmte Sicherheitsziele umrissen, die bei der Konzipierung eines konkreten europäischen Systems für die Cybersicherheitszertifizierung zu berücksichtigen sind, sondern es wird auch der Mindestinhalt solcher Systeme beschrieben. Derartige Systeme müssen u. a. eine Reihe von bestimmten Elementen definieren, die den Umfang und Gegenstand der Cybersicherheitszertifizierung festlegen. Dazu zählen die Nennung der Kategorien der erfassten Produkte und Dienste, die detaillierte Festlegung der Cybersicherheitsanforderungen (z. B. durch Bezugnahme auf einschlägige Normen oder technische Spezifikationen), die spezifischen Evaluierungskriterien und -methoden sowie die Vertrauenswürdigkeitsstufe, die durch sie gewährleistet werden soll (d. h. niedrig, mittel oder hoch). Europäische Systeme für die Cybersicherheitszertifizierung werden von der ENISA mit der Unterstützung und mit der fachlichen Beratung der Europäischen Gruppe für die Cybersicherheitszertifizierung (siehe unten) und in enger Zusammenarbeit mit ihr ausgearbeitet und von der Kommission durch Durchführungsrechtsakte verabschiedet werden. Wenn der Bedarf für ein Cybersicherheitszertifizierungssystem festgestellt wird, wird die Kommission die ENISA auffordern, ein System für bestimmte IKT-Produkte und Dienste auszuarbeiten. Die Arbeiten der ENISA am System werden in enger Zusammenarbeit mit den in der Gruppe vertretenen nationalen Aufsichtsbehörden für die Zertifizierung erfolgen. Die Mitgliedstaaten und die Gruppe können der Kommission vorschlagen, dass die Kommission die ENISA zur Ausarbeitung eines besonderen Systems auffordert. Die Zertifizierung kann ein sehr kostspieliger Prozess sein, was wiederum zu höheren Preisen für die Kunden und Verbraucher führen kann. Die Notwendigkeit einer Zertifizierung kann auch je nach spezifischem Kontext der Nutzung der Produkte und Dienste und in Abhängigkeit vom raschen technologischen Wandel erheblich variieren. Der Rückgriff auf eine europäische Cybersicherheitszertifizierung sollte daher weiterhin auf freiwilliger Basis erfolgen, sofern in den Rechtsvorschriften der Union zur Festlegung von Anforderungen an die Sicherheit von IKT-Produkten und Diensten nicht etwas anderes bestimmt ist. Im Interesse der Harmonisierung und zur Vermeidung der Fragmentierung werden nationale Systeme oder Verfahren für die Cybersicherheitszertifizierung von IKT-Produkten und Diensten, die Gegenstand eines europäischen Systems für die Cybersicherheitszertifizierung sind, ab dem im Durchführungsrechtsakt für die Annahme des Systems festgelegten Datum keine Anwendung mehr finden. Ferner sollten die Mitgliedstaaten keine neuen nationalen Systeme für die Cybersicherheitszertifizierung von IKT-Produkten und Diensten, die unter ein bestehendes europäisches System für die Cybersicherheitszertifizierung fallen, einführen. Sobald ein europäisches System für die Cybersicherheitszertifizierung verabschiedet ist, werden die Hersteller von IKT-Produkten und Anbieter von IKT-Diensten die Zertifizierung ihrer Produkte oder Dienste bei einer Konformitätsbewertungsstelle ihrer Wahl beantragen können. Die Konformitätsbewertungsstellen sollten von einer Akkreditierungsstelle akkreditiert werden, sofern sie bestimmten Anforderungen genügen. Die Akkreditierung wird für eine Höchstdauer von fünf Jahren erteilt und kann unter denselben Bedingungen verlängert werden, sofern die Konformitätsbewertungsstelle die Anforderungen erfüllt. Die Akkreditierungsstellen werden die einer Konformitätsbewertungsstelle erteilte Akkreditierung widerrufen, wenn die Voraussetzungen für die Akkreditierung nicht oder nicht mehr erfüllt sind oder wenn eine Konformitätsbewertungsstelle Maßnahmen ergreift, die nicht mit dieser Verordnung vereinbar sind. Im Vorschlag ist vorgesehen, dass die Überwachungs-, Aufsichts- und Durchsetzungsaufgaben den Mitgliedstaaten obliegen. Die Mitgliedstaaten müssen eine für die Zertifizierung zuständige Aufsichtsbehörde stellen. Aufgabe dieser Behörde wird die Aufsicht darüber sein, dass die in ihrem Hoheitsgebiet ansässigen Konformitätsbewertungsstellen und die von diesen ausgestellten Zertifikate den Anforderungen genügen, die in dieser Verordnung und in den jeweiligen europäischen Cybersicherheitszertifizierungssystemen festgelegt sind. Die nationalen Aufsichtsbehörden für die Zertifizierung werden Beschwerden, die von natürlichen oder juristischen Personen in Bezug auf die von Konformitätsbewertungsstellen in ihrem Hoheitsgebiet ausgestellten Zertifikate eingereicht werden, bearbeiten. Sie werden den Beschwerdegegenstand, soweit angemessen, untersuchen und den Beschwerdeführer über die Fortschritte und das Ergebnis der Untersuchung innerhalb einer angemessenen Frist unterrichten. Darüber hinaus werden sie mit anderen Aufsichtsbehörden für die Zertifizierung und anderen öffentlichen Stellen zusammenarbeiten, z. B. indem sie Informationen über die etwaige Nichtkonformität von IKT-Produkten und Diensten mit den Anforderungen dieser Verordnung oder mit bestimmten europäischen Systemen für die Cybersicherheitszertifizierung austauschen. Und schließlich wird mit dem Vorschlag die Europäische Gruppe für die Cybersicherheitszertifizierung (im Folgenden die „Gruppe“) eingesetzt, die aus den nationalen Zertifizierungsaufsichtsbehörden aller Mitgliedstaaten besteht. Hauptaufgabe der Gruppe ist die Beratung der Kommission in Fragen der Cybersicherheitszertifizierungspolitik und die Zusammenarbeit mit der ENISA bei der Entwicklung vorläufiger europäischer Systeme für die Cybersicherheitszertifizierung. Die ENISA wird die Kommission dadurch unterstützen, dass sie das Sekretariat der Gruppe stellt, und sie wird ein aktualisiertes öffentliches Verzeichnis der Systeme führen, die gemäß dem europäischen Rahmen für die Cybersicherheitszertifizierung genehmigt wurden. Die ENISA würde auch Kontakte zu den Normungsgremien pflegen, um die Zweckmäßigkeit der in den genehmigten Systemen verwendeten Normen sicherzustellen und Bereiche zu benennen, in denen ein Normungsbedarf im Bereich der Cybersicherheit besteht. Der europäische Rahmen für die Cybersicherheitszertifizierung (im Folgenden „der Rahmen“) wird Bürgern und Unternehmen mehrere Vorteile bieten. Besonders herauszustellen sind die folgenden: ·Mit der Einführung EU-weiter Systeme für die Cybersicherheitszertifizierung für bestimmte Produkte oder Dienste erhalten die Unternehmen eine „zentrale Anlaufstelle“ für die Zertifizierung der Cybersicherheit in der EU. Diese Unternehmen müssen ihr Produkt nur einmal zertifizieren lassen und erhalten ein in allen Mitgliedstaaten gültiges Zertifikat. Sie müssen ihre Produkte nicht von unterschiedlichen nationalen Zertifizierungsstellen erneut zertifizieren lassen. Dies wird die Kosten für die Unternehmen deutlich verringern, grenzüberschreitende Tätigkeiten erleichtern und letztlich eine Fragmentierung des Binnenmarkts für die jeweiligen Produkte verringern oder vermeiden. ·Mit dem Rahmen wird der Vorrang der europäischen Systeme für die Cybersicherheitszertifizierung vor den nationalen Systemen festgelegt: Nach dieser Regelung ersetzt ein verabschiedetes europäisches System für die Cybersicherheitszertifizierung alle bestehenden parallelen nationalen Systeme für dieselben IKT-Produkte oder Dienste einer bestimmten Vertrauenswürdigkeitsstufe. Dies wird mehr Klarheit schaffen und den derzeitigen Wildwuchs sich überschneidender und möglicherweise widersprüchlicher nationaler Zertifizierungssysteme im Bereich der Cybersicherheit eindämmen. ·Ferner unterstützt und ergänzt der Vorschlag die Umsetzung der NIS-Richtlinie, indem sie Unternehmen, die der Richtlinie unterliegen, ein äußerst nützliches Werkzeug an die Hand gibt, um die Einhaltung der NIS-Anforderungen in der gesamten Europäischen Union nachzuweisen. Bei der Entwicklung neuer Systeme für die Cybersicherheitszertifizierung werden die Kommission und die ENISA ein besonderes Augenmerk darauf legen, dass sich die NIS-Anforderungen in den Systemen für die Cybersicherheitszertifizierung widerspiegeln. ·Der Vorschlag wird die Entwicklung einer europäischen Cybersicherheitspolitik durch die Harmonisierung der Bedingungen und Anforderungen für die Cybersicherheitszertifizierung von IKT-Produkten und Diensten in der EU unterstützen und fördern. Europäische Systeme für die Cybersicherheitszertifizierung werden sich auf gemeinsame Normen oder Evaluierungskriterien und Prüfverfahren beziehen. Dies wird, wenn auch nur indirekt, wesentlich zur Verbreitung gemeinsamer Sicherheitslösungen in der EU beitragen und dadurch auch Hindernisse für den Binnenmarkt beseitigen. ·Der Rahmen ist so konzipiert, dass die für die Cybersicherheitszertifizierungssysteme notwendige Flexibilität gewährleistet ist. Je nach den spezifischen Cybersicherheitserfordernissen kann ein Produkt oder ein Dienst für ein höheres oder niedrigeres Sicherheitsniveau zertifiziert werden. Europäische Systeme für die Cybersicherheitszertifizierung werden unter Berücksichtigung dieser Flexibilität konzipiert werden und daher verschiedene Vertrauenswürdigkeitsstufen (d. h. niedrig, mittel oder hoch) vorsehen, damit sie für unterschiedliche Zwecke oder in unterschiedlichen Kontexten verwendet werden können. ·Alle oben genannten Elemente werden bewirken, dass die Unternehmen die Cybersicherheitszertifizierung vermehrt als ein wirksames Mittel betrachten, um die Vertrauenswürdigkeitsstufen von IKT-Produkten oder Diensten zu kommunizieren. In dem Maße, in dem die Cybersicherheitszertifizierung billiger, wirksamer und kommerziell attraktiver wird, werden die Unternehmen größere Anreize haben, ihre Produkte unter dem Aspekt der Cybersicherheit zertifizieren zu lassen, und damit einen Beitrag zur besseren Verbreitung von Cybersicherheitspraktiken bei der Konzeption von IKT-Produkten und Diensten (eingebaute Cybersicherheit) zu leisten. •Kohärenz mit den bestehenden Vorschriften in diesem Politikbereich

Nach der NIS-Richtlinie müssen Wirtschaftsbeteiligte in Sektoren, die für unsere Wirtschaft und Gesellschaft von entscheidender Bedeutung sind, wie z. B. Energie, Verkehr, Wasser, Banken, Finanzmarktinfrastrukturen, Gesundheitswesen und digitale Infrastruktur, sowie Anbieter digitaler Dienste (z. B. Suchmaschinen, Cloud-Computing-Dienste und Online-Marktplätze) Maßnahmen zur angemessenen Beherrschung der Sicherheitsrisiken ergreifen. Die neuen Bestimmungen des vorliegenden Vorschlags ergänzen die Vorschriften der NIS-Richtlinie und gewährleisten die Kohärenz mit ihr, um die Abwehrfähigkeit der EU gegen Cyberangriffe durch mehr Kapazitäten, Zusammenarbeit, Risikomanagement und Sensibilisierung weiter zu verbessern. Darüber hinaus sind die Bestimmungen zur Cybersicherheitszertifizierung ein wichtiges Instrument für Unternehmen, die unter die NIS-Richtlinie fallen, da sie ihre IKT-Produkte und Dienste auf der Basis von in der gesamten EU gültigen und anerkannten Cybersicherheitszertifizierungssystemen entsprechend dem Cybersicherheitsrisiko zertifizieren lassen können. Die Bestimmungen ergänzen auch die in der eIDAS-Verordnung und in der Funkanlagenrichtlinie festgelegten Sicherheitsanforderungen. •Kohärenz mit der Politik der Union in anderen Bereichen Die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) enthält Festlegungen für Zertifizierungsverfahren und Datenschutzsiegel und prüfzeichen, die dem Nachweis dienen, dass die für die Datenverarbeitung Verantwortlichen und die Auftragsverarbeiter bei der Verarbeitung von Daten sich an die Bestimmungen der Verordnung gehalten haben. Die Zertifizierung von Datenverarbeitungsvorgängen, die unter die Datenschutz-Grundverordnung fallen, auch wenn solche Vorgänge in Produkte und Dienste eingebettet sind, bleibt von dieser Verordnung unberührt. Die vorgeschlagene Verordnung wird die Vereinbarkeit mit der Verordnung (EG) Nr. 765/2008 über die Vorschriften für die Akkreditierung und Marktüberwachung durch die Bezugnahme auf die Vorschriften jenes Rahmens für die nationalen Akkreditierungsstellen und Konformitätsbewertungsstellen sicherstellen. Was die Aufsichtsbehörden betrifft, so sieht der Verordnungsvorschlag vor, dass die Mitgliedstaaten nationale Aufsichtsbehörden für die Zertifizierung benennen müssen, die für die Aufsicht sowie für die Überwachung und Durchsetzung der Vorschriften zuständig sind. Diese Stellen bleiben gemäß der Verordnung (EG) Nr. 765/2008 von den Konformitätsbewertungsstellen getrennt. 2.RECHTSGRUNDLAGE, SUBSIDIARITÄT UND VERHÄLTNISMÄSSIGKEIT •Rechtsgrundlage Die Rechtsgrundlage für ein Tätigwerden der EU ist Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), der die Angleichung der Rechtsvorschriften der Mitgliedstaaten im Hinblick auf die Verwirklichung des in Artikel 26 AEUV genannten Ziels, nämlich das ordnungsgemäße Funktionieren des Binnenmarkts, betrifft. Die auf den Binnenmarkt gestützte Rechtsgrundlage für die Gründung der ENISA wurde vom Gerichtshof in der Rechtssache C-217/04 (Vereinigtes Königreich gegen Europäisches Parlament und Rat) aufrechterhalten und durch die Verordnung aus dem Jahr 2013, in der das derzeitige Mandat der Agentur festgelegt wurde, erneut bestätigt. Außerdem würden Tätigkeiten, die die Ziele einer vermehrten Zusammenarbeit und Koordinierung zwischen den Mitgliedstaaten widerspiegeln, und solche, durch die Kapazitäten auf EU-Ebene zur Ergänzung der Maßnahmen der Mitgliedstaaten ausgebaut werden, in die Kategorie „operative Zusammenarbeit“ fallen. Diese wird in der NIS-Richtlinie (deren Rechtsgrundlage Artikel 114 AEUV ist) eigens als ein Ziel festgelegt, das im Rahmen des CSIRTs-Netzes verfolgt werden soll – diesbezüglich heißt es wie folgt: ... „die ENISA führt die Sekretariatsgeschäfte und unterstützt aktiv die Zusammenarbeit“ (Artikel 12 Absatz 2). Insbesondere in Artikel 12 Absatz 3 Buchstabe f werden weitere Formen der operativen Zusammenarbeit als Aufgabe des CSIRTs-Netzes genannt, u. a. im Zusammenhang mit i) Kategorien von Risiken und Sicherheitsvorfällen, ii) Frühwarnungen, iii) gegenseitiger Unterstützung und Grundsätzen und Modalitäten der Koordinierung bei der Reaktion der Mitgliedstaaten auf grenzüberschreitende Risiken und Vorfälle. ·Die derzeitige Fragmentierung der Zertifizierungssysteme für IKT-Produkte und Dienste ist auch eine Folge des Fehlens eines gemeinsamen, rechtsverbindlichen und wirksamen Rahmenprozesses, der für die Mitgliedstaaten gilt. Dies behindert die Schaffung eines Binnenmarktes für IKT-Produkte und Dienste und beeinträchtigt die Wettbewerbsfähigkeit der europäischen Industrie in diesem Sektor. Mit dem vorliegenden Vorschlag sollen die vorhandene Fragmentierung und die damit verbundenen Hindernisse auf dem Binnenmarkt durch die Schaffung eines gemeinsamen Rahmens für die Ausarbeitung von EU-weit gültigen Systemen für die Cybersicherheitszertifizierung angegangen werden. Subsidiarität (bei nicht ausschließlicher Zuständigkeit) Das Subsidiaritätsprinzip erfordert eine Bewertung der Notwendigkeit und des Mehrwerts des Handelns der EU. Die Einhaltung des Subsidiaritätsprinzips in diesem Bereich wurde bereits bei der Annahme der derzeitigen ENISA-Verordnung anerkannt. Cybersicherheit ist ein Thema von gemeinsamem Interesse der Union. Die gegenseitigen Abhängigkeiten zwischen Netz- und Informationssystemen sind so groß, dass die einzelnen Akteure (öffentliche und private Akteure, einschließlich der Bürger) sehr häufig den Bedrohungen nicht begegnen und die Risiken sowie die möglichen Auswirkungen von Cybersicherheitsvorfällen nicht isoliert bewältigen können. Zum einen bedeuten die gegenseitigen, über Landesgrenzen hinweg reichenden Abhängigkeiten, auch hinsichtlich des Betriebs kritischer Infrastrukturen (Energie, Verkehr, Wasser, um nur einige zu nennen), dass Maßnahmen auf europäischer Ebene nicht nur sinnvoll, sondern auch notwendig sind. Zum anderen kann ein Eingreifen der EU durch den Austausch bewährter Verfahren zwischen den Mitgliedstaaten einen positiven „Spill-over“-Effekt haben, der zu mehr Cybersicherheit in der Union führen kann. Zusammenfassend lässt sich feststellen, dass im aktuellen Kontext und mit Blick auf die künftigen Szenarios einzelne Maßnahmen der EU-Mitgliedstaaten und eine uneinheitliche Herangehensweise an die Cybersicherheit nicht ausreichen werden, um die kollektive Cyberabwehrfähigkeit der Union zu steigern. Ein Tätigwerden der EU wird auch als notwendig erachtet, um Lösungen für das Problem der nebeneinander bestehenden Systeme für die Cybersicherheitszertifizierung zu finden. Hersteller könnten so durch erhebliche Einsparungen bei den Kosten für die Prüfung und Neukonzeption von Produkten in vollem Umfang vom Binnenmarkt profitieren. Das aktuelle Abkommen über die gegenseitige Anerkennung (Mutual Recognition Agreement, MRA) der Gruppe Hoher Beamter für Informationssicherheit (SOG-IS) beispielsweise hat diesbezüglich zu wichtigen Ergebnissen geführt, zeigte aber auch, dass es aufgrund der ihm gesetzten engen Grenzen nicht geeignet ist, längerfristige nachhaltige Lösungen hervorzubringen, mit denen der Binnenmarkt sein volles Potenzial entfalten könnte. Der Mehrwert des Tätigwerdens auf EU-Ebene, insbesondere zur Stärkung der Zusammenarbeit zwischen den Mitgliedstaaten, aber auch zwischen den Fachkreisen auf dem Gebiet der Netz- und Informationssicherheit, wurde in den Schlussfolgerungen des Rates von 2016 anerkannt und geht auch klar aus der Bewertung der ENISA hervor. •Verhältnismäßigkeit

Die vorgeschlagenen Maßnahmen gehen nicht über das für die Erreichung der angestrebten Politikziele erforderliche Maß hinaus. Zudem werden weitere einzelstaatliche Maßnahmen in Angelegenheiten der nationalen Sicherheit durch den Geltungsbereich der EU-Maßnahmen nicht beeinträchtigt. Ein Tätigwerden der EU ist daher aus Gründen der Subsidiarität und Verhältnismäßigkeit gerechtfertigt. •Wahl des Instruments Mit dem vorliegenden Vorschlag wird die Verordnung (EU) Nr. 526/2013 überarbeitet, in der das derzeitige Mandat und die derzeitigen Aufgaben der ENISA festgelegt sind. Angesichts der wichtigen Rolle der ENISA beim Aufbau und bei der Handhabung eines EU-Rahmens für die Cybersicherheitszertifizierung ist es am sinnvollsten, das neue ENISA-Mandat und den besagten Rahmen mit einem einzigen Rechtsinstrument, dem Instrument einer Verordnung, festzulegen. 3.ERGEBNISSE DER EX-POST-BEWERTUNG, DER KONSULTATION DER INTERESSENTRÄGER UND DER FOLGENABSCHÄTZUNG Ex-post-Bewertung/Eignungsprüfungen bestehender Rechtsvorschriften Im Einklang mit dem Evaluierungsfahrplan hat die Kommission die Relevanz, Wirkung, Wirksamkeit, Effizienz und Kohärenz sowie den EU-Mehrwert der Agentur im Hinblick auf ihre Leistungen, Führung, interne Organisationsstruktur und Arbeitsmethoden im Zeitraum 2013-2016 bewertet. Die Hauptergebnisse lassen sich wie im Folgenden dargestellt zusammenfassen (weitere Einzelheiten sind der Arbeitsunterlage der Kommissionsdienststellen über die Folgenabschätzung beigefügt). ·Relevanz: Vor dem Hintergrund der technologischen Entwicklungen und der sich ändernden Bedrohungen sowie der dringenden Notwendigkeit einer verbesserten Cybersicherheit in der EU erwiesen sich die Ziele der ENISA als relevant. Die Mitgliedstaaten und die EU-Einrichtungen verlassen sich auf ihre umfassende Fachkompetenz im Bereich der Cybersicherheit. Zudem müssen in den Mitgliedstaaten Kapazitäten aufgebaut werden, um Bedrohungen besser verstehen und abwehren zu können, und die Interessenträger müssen über alle Themenbereiche und Einrichtungen hinweg zusammenarbeiten. Die Cybersicherheit ist nach wie vor eine zentrale politische Priorität der EU, und von der ENISA wird erwartet, dass sie ihr gerecht wird. Die Ausgestaltung der ENISA als EU-Agentur mit einem befristeten Mandat jedoch i) erlaubt keine langfristige Planung und keine nachhaltige Unterstützung der Mitgliedstaaten und der EU-Organe, ii) kann zu einem rechtlichen Vakuum führen, da die Bestimmungen der NIS-Richtlinie, durch die die ENISA mit Aufgaben betraut wurde, dauerhafter Art sind, und iii) lässt sich nicht mit einer Zielvorstellung vereinbaren, die die ENISA mit einem verstärkten EU-Cybersicherheitsökosystem in Verbindung bringt. ·Wirksamkeit: Insgesamt hat die ENISA ihre Ziele erreicht und ihre Aufgaben wahrgenommen. Durch ihre Haupttätigkeiten (Aufbau von Kapazitäten, Bereitstellung von Fachwissen, Aufbau von Fachkreisen, Unterstützung der Politik) hat sie einen Beitrag zu mehr Netz- und Informationssicherheit in Europa geleistet. Bei den einzelnen Bereichen bestand allerdings ein gewisses Verbesserungspotenzial. Die Bewertung kam zu dem Schluss, dass die ENISA auf wirksame Weise starke und vertrauensvolle Beziehungen zu einigen ihrer Interessenträger, insbesondere zu den Mitgliedstaaten und den CSIRTs-Kreisen, aufgebaut hat. Maßnahmen im Bereich des Kapazitätsaufbaus wurden vor allem für Mitgliedstaaten mit weniger Ressourcen als wirksam angesehen. Besonders hervorzuheben war die Förderung einer breit angelegten Zusammenarbeit; die Interessenträger stimmten weitgehend darin überein, dass die ENISA eine positive Rolle dabei spielt, Menschen zusammenzuführen. Die ENISA hatte jedoch Schwierigkeiten, auf dem weiten Feld der Netz- und Informationssicherheit große Wirkung zu entfalten. Dies war auch darauf zurückzuführen, dass sie über nur relativ begrenzte personelle und finanzielle Ressourcen verfügte, um ein sehr umfassendes Mandat zu erfüllen. Eine weitere Schlussfolgerung der Bewertung war, dass die ENISA das Ziel der Bereitstellung von Fachwissen nur zum Teil erreichte, was mit den Schwierigkeiten bei der Rekrutierung von Sachverständigen zusammenhing (siehe nachstehenden Abschnitt zur Effizienz). ·Effizienz: Trotz ihrer geringen Mittelausstattung (die im Vergleich mit der anderer EU-Agenturen zu den niedrigsten gehört) war die Agentur in der Lage, einen Beitrag zu den gesetzten Zielen zu leisten, wobei sie bei der Nutzung ihrer Ressourcen insgesamt Effizienz bewies. Die Bewertung kam zu dem Schluss, dass die Prozesse im Allgemeinen effizient waren und eine klare Abgrenzung der Zuständigkeiten innerhalb der Organisation eine gute Durchführung der Arbeiten zur Folge hatte. Eine der wesentlichen Herausforderungen in Bezug auf die Effizienz der Agentur betrifft die Schwierigkeiten der ENISA, hoch qualifizierte Sachverständige zu rekrutieren und zu binden. Die Ergebnisse zeigen, dass sich dies durch eine Kombination von Faktoren erklären lässt, u. a. durch die allgemeinen Schwierigkeiten des gesamten öffentlichen Sektors, bei der Einstellung hoch spezialisierter Fachleute mit dem privaten Sektor zu konkurrieren, die Art der Verträge (Befristung), die die Agentur in den meisten Fällen anbieten konnte, und die eher geringe Attraktivität des Standorts der ENISA, z. B. aufgrund der Schwierigkeiten für den Ehepartner, einen Arbeitsplatz zu finden. Die Aufteilung zwischen Athen und Heraklion erforderte zusätzliche Koordinierungsanstrengungen und verursachte zusätzliche Kosten, aber die Übersiedlung der Abteilung für das Kerngeschäft nach Athen im Jahr 2013 hat die operative Effizienz der Agentur verbessert. ·Kohärenz: Die Tätigkeiten der ENISA standen im Allgemeinen mit der Politik und den Aktivitäten der Interessenträger auf nationaler und EU-Ebene in Einklang, auf EU-Ebene muss jedoch der Ansatz im Hinblick auf die Cybersicherheit besser koordiniert werden. Das Potenzial für eine Zusammenarbeit zwischen der ENISA und anderen EU-Einrichtungen wurde noch nicht voll ausgeschöpft. Die Weiterentwicklung der rechtlichen und politischen Landschaft in der EU hatte zur Folge, dass das aktuelle Mandat jetzt weniger stimmig ist. ·Mehrwert durch EU-Maßnahmen: Der Mehrwert der ENISA besteht in erster Linie darin, dass die Agentur es versteht, die Zusammenarbeit, insbesondere zwischen den Mitgliedstaaten, aber auch mit den einschlägigen Fachkreisen der Netz- und Informationssicherheit, zu verbessern. Auf EU-Ebene gibt es keinen anderen Akteur, der die Zusammenarbeit eines so großen Spektrums unterschiedlicher Interessenträger im Bereich der Netz- und Informationssicherheit unterstützt. Der Mehrwert der Agentur wurde je nach den verschiedenen Bedürfnissen und Ressourcen der Interessenträger (z. B. große/kleine Mitgliedstaaten, Mitgliedstaaten/Industrie) und der Notwendigkeit seitens der Agentur, bei ihren Aktivitäten Prioritäten gemäß dem Arbeitsprogramm zu setzen, unterschiedlich bewertet. Die Bewertung kam zu dem Schluss, dass eine mögliche Einstellung der Arbeiten der ENISA für alle Mitgliedstaaten eine vertane Chance wäre. Es wird nicht möglich sein, im Bereich der Cybersicherheit im selben Maße zwischen den Mitgliedstaaten Fachkreise zu bilden und zusammenzuarbeiten. Ohne eine stärker zentralisierte EU-Agentur wäre das Gesamtbild uneinheitlicher, wenn ein von der ENISA hinterlassenes Vakuum durch eine bilaterale oder regionale Zusammenarbeit geschlossen werden würde. Speziell hinsichtlich der bisherigen Leistungen der ENISA und ihrer Zukunft zeichneten sich in der 2017 durchgeführten Konsultation folgende Haupttrends ab: ·Die Gesamtleistung der ENISA im Zeitraum 2013-2016 wurde von der Mehrheit der Teilnehmer (74 %) positiv bewertet. Darüber hinaus vertrat die Mehrheit der Befragten die Auffassung, dass die ENISA ihre einzelnen Ziele erreicht (für jedes der Ziele waren mindestens 63 % dieser Meinung). Die Dienste und Produkte der ENISA werden von fast der Hälfte der Befragten (46 %) regelmäßig (monatlich oder häufiger) genutzt und wegen ihrer Qualität (62 %) geschätzt ebenso wie deshalb, weil sie von einer Einrichtung auf EU-Ebene (83 %) stammen. ·Die Befragten nannten eine Reihe von Defiziten und Problemen hinsichtlich der Zukunft der Cybersicherheit in der EU; von einer Liste mit 16 Punkten wurden die folgenden fünf am häufigsten genannt: die Zusammenarbeit zwischen den Mitgliedstaaten; die Fähigkeit, massive Cyberangriffe zu verhindern, zu erkennen und zu bewältigen; die Zusammenarbeit zwischen den Mitgliedstaaten in Fragen der Cybersicherheit; die Zusammenarbeit und der Informationsaustausch zwischen verschiedenen Interessenträgern, einschließlich der Zusammenarbeit zwischen öffentlichen und privaten Stellen; der Schutz kritischer Infrastrukturen vor Cyberangriffen. ·Eine große Mehrheit (88 %) der Teilnehmer war der Auffassung, dass die derzeit auf EU-Ebene verfügbaren Instrumente und Mechanismen nicht ausreichen oder nur zum Teil geeignet sind, um diese Defizite und Probleme anzugehen. Die Befragten gaben mit großer Mehrheit (98 %) an, dass eine EU-Einrichtung diesem Bedarf gerecht werden sollte, und 99 % der Teilnehmer meinten, die ENISA sei die dafür richtige Organisation. Konsultation der Interessenträger ·Zwischen dem 12. April und dem 5. Juli. 2016 hat die Kommission eine öffentliche Konsultation zur Überprüfung der ENISA durchgeführt, zu der 421 Antworten eingingen. Aus den Ergebnissen ging hervor, dass nach Ansicht von 67,5 % der Konsultationsteilnehmer die ENISA eine Rolle bei der Festlegung eines harmonisierten Rahmens für die Sicherheitszertifizierung von IT-Produkten und Diensten spielen könnte. Aus den Ergebnissen der 2016 durchgeführten Konsultation zur vertraglichen öffentlich-privaten Partnerschaft für Cybersicherheit im Abschnitt über die Zertifizierung ging Folgendes hervor:

·50,4 % (d. h. 121 von 240) der Befragten wissen nicht, ob nationale Zertifizierungssysteme in den EU-Mitgliedstaaten gegenseitig anerkannt werden. 25,8 % (62 von 240) antworteten mit „Nein“, während 23,8 % (57 von 240) mit „Ja“ antworteten. ·37,9 % der Befragten (91 von 240) sind der Ansicht, dass die bestehenden Zertifizierungssysteme nicht den Bedürfnissen der europäischen Industrie gerecht werden. Andererseits haben 17,5 % (42 von 240) – in erster Linie globale Unternehmen, die auf dem europäischen Markt tätig sind –, die gegenteilige Auffassung vertreten. ·49,6 % (119 von 240) der Befragten meinten, es sei nicht einfach, die Gleichwertigkeit von Normen, Zertifizierungssystemen und Kennzeichnungen nachzuweisen. 37,9 % (91 von 240) antworteten mit „Ich weiß nicht“, während nur 12,5 % (30 von 240) mit „Ja“ antworteten. Einholung und Nutzung von Expertenwissen Die Kommission hat sich auf folgenden externen fachlichen Rat gestützt: ·Study on the Evaluation of ENISA (Ramboll/Carsa 2017; Smart no. 2016/0077), ·Study on ICT Security Certification and Labelling – Evidence gathering and impact assessment (PriceWaterhouseCoopers 2017; SMART no. 2016/0029). Folgenabschätzung ·Im Bericht über die Folgenabschätzung zu dieser Initiative wurden die folgenden Hauptprobleme benannt, die gelöst werden müssen: ·Unterschiedliche, nebeneinander bestehende Konzepte und Ansätze im Bereich der Cybersicherheit in den Mitgliedstaaten, ·verstreute Ressourcen und uneinheitliche Ansätze aller Organe, Einrichtungen und sonstigen Stellen der EU im Bereich der Cybersicherheit und ·unzureichende Sensibilisierung und Aufklärung der Bürger und Unternehmen in Verbindung mit dem zunehmenden Aufkommen zahlreicher nationalen und sektorspezifischen Zertifizierungssysteme. In dem Bericht wurden für das ENISA-Mandat folgende Optionen bewertet: ·Wahrung des Status quo, d. h. ein erweitertes, aber dennoch zeitlich befristetes Mandat (Basisszenario), ·Auslaufen des derzeitigen ENISA-Mandats ohne Verlängerung und Einstellung der Arbeit der ENISA (keine Maßnahmen), ·eine „reformierte“ ENISA und ·eine vollständig einsatzfähige EU-Cybersicherheitsagentur. In dem Bericht wurden die folgenden Optionen für die Cybersicherheitszertifizierung bewertet:

·keine Maßnahme (Basisszenario), ·nichtlegislative (nicht zwingende) Maßnahmen, ·ein Rechtsakt der EU zur Schaffung eines verbindlichen Systems für alle Mitgliedstaaten auf der Grundlage des SOG-IS-Systems und ·ein EU-Rahmen für die allgemeine IKT-Cybersicherheitszertifizierung. Die Analyse ergab, dass eine „reformierte ENISA“ in Verbindung mit einem EU-Rahmen für die allgemeine IKT-Cybersicherheitszertifizierung die bevorzugte Option ist. Die bevorzugte Option ging aus der Bewertung als die Lösung hervor, mit der die EU die folgenden Ziele am effektivsten erreichen kann: Verbesserung der Cybersicherheitskapazitäten, der Abwehrbereitschaft, der Zusammenarbeit, der Sensibilisierung und der Transparenz sowie Vermeidung einer Marktfragmentierung. Diese Option weist zudem die größte Übereinstimmung mit den politischen Prioritäten auf, die in der EU-Cybersicherheitsstrategie, in den damit verbundenen Strategien (z. B. NIS-Richtlinie) und in der Strategie für den digitalen Binnenmarkt festgelegt wurden. Zudem ergab die Konsultation, dass die bevorzugte Option von der Mehrheit der Interessenträger unterstützt wird. Darüber hinaus zeigten die im Rahmen der Folgenabschätzung durchgeführten Analysen, dass sich die Ziele bei dieser Option durch einen angemessenen Ressourceneinsatz erreichen ließen. Der Ausschuss für Regulierungskontrolle der Kommission gab am 24. Juli zunächst eine negative Stellungnahme und nach der Neuvorlage eine befürwortende Stellungnahme am 25. August 2017 ab. Der geänderte Folgenabschätzungsbericht enthielt weitere Nachweise, die endgültigen Schlussfolgerungen der ENISA-Bewertung und zusätzliche Erläuterungen zu den Politikoptionen und ihren Auswirkungen. In Anhang 1 des endgültigen Folgenabschätzungsberichts wird zusammenfassend dargestellt, wie auf die in der zweiten Stellungnahme des Ausschusses vorgebrachten Bemerkungen eingegangen wurde. Insbesondere wurde der Bericht auf den neuesten Stand gebracht, um die Situation in der EU im Bereich der Cybersicherheit ausführlicher zu beschreiben, einschließlich der Maßnahmen, die in der gemeinsamen Mitteilung „Abwehrfähigkeit, Abschreckung und Abwehr: die Cybersicherheit in der EU wirksam erhöhen“ [JOIN(2017) 450] enthalten sind und für die ENISA von besonderer Bedeutung sind: der EU-Konzeptentwurf für Cybersicherheit und das Europäische Forschungs- und Kompetenzzentrum für Cybersicherheit, das die Agentur in Fragen des EU-Forschungsbedarfs beraten würde. In dem Bericht wird erläutert, wie die Reform der Agentur mit den neuen Aufgaben, besseren Beschäftigungsbedingungen und der strukturellen Zusammenarbeit mit den in diesem Bereich tätigen EU-Organen die Attraktivität der Agentur als Arbeitgeber verbessern und dazu beitragen würde, die mit der Rekrutierung von Sachverständigen zusammenhängenden Probleme zu lösen. Anhang 6 des Berichts enthält auch eine geänderte Aufstellung der geschätzten Kosten der politischen Optionen für die ENISA. Hinsichtlich der Zertifizierungsthematik wurde der Bericht überarbeitet, um die bevorzugte Option ausführlicher, auch mit einer grafischen Darstellung, zu erläutern und um die mit dem neuen Zertifizierungsrahmen verbundenen geschätzten Kosten für die Mitgliedstaaten und die Kommission darzulegen. Die Wahl der ENISA als wichtigster Akteur für den Zertifizierungsrahmen wurde weiter erläutert und mit ihrer einschlägigen Fachkompetenz sowie damit begründet, dass sie die einzige Cybersicherheitsagentur auf EU-Ebene ist. Schließlich wurden auch die Abschnitte über die Zertifizierung überarbeitet, um Aspekte zu klären, die den Unterschied zum aktuellen SOG-IS-System betreffen, um die Vorteile der verschiedenen Politikoptionen zu präzisieren und um darzulegen, dass die Art der unter ein europäisches Zertifizierungssystem fallenden IKT-Produkte und Dienste in dem jeweils genehmigten System definiert werden wird. Effizienz der Rechtsetzung und Vereinfachung Entfällt. Auswirkungen auf die Grundrechte Für den Schutz der Privatsphäre und der personenbezogenen Daten natürlicher Personen im Einklang mit den Artikeln 7 und 8 der Charta der Grundrechte der EU ist die Cybersicherheit von entscheidender Bedeutung. Bei Cybersicherheitsvorfällen sind die Privatsphäre und der Schutz der personenbezogenen Daten eindeutig gefährdet. Die Cybersicherheit ist somit eine notwendige Voraussetzung für die Wahrung der Privatsphäre und der Vertraulichkeit personenbezogener Daten. Unter diesem Gesichtspunkt stellt der Vorschlag, der auf die Stärkung der Cybersicherheit in Europa abzielt, eine wichtige Ergänzung der bestehenden Rechtsvorschriften dar, die das Grundrecht auf den Schutz der Privatsphäre und der personenbezogenen Daten gewährleisten. Die Cybersicherheit ist auch von grundlegender Bedeutung für den Schutz der Vertraulichkeit der elektronischen Kommunikation und somit für die Ausübung des Rechts auf freie Meinungsäußerung und Informationsfreiheit sowie andere damit verbundene Rechte wie das Recht auf Gedanken-, Gewissens- und Religionsfreiheit. 4.AUSWIRKUNGEN AUF DEN HAUSHALT Siehe Finanzbogen 5.WEITERE ANGABEN •Durchführungspläne sowie Monitoring-, Bewertungs- und Berichterstattungsmodalitäten Die Kommission wird die Anwendung der Verordnung überwachen und dem Europäischen Parlament, dem Rat und dem Europäischen Wirtschafts- und Sozialausschuss alle fünf Jahre einen Bewertungsbericht vorlegen. Diese Berichte werden veröffentlicht und geben detailliert Auskunft über die tatsächliche Anwendung und Durchsetzung dieser Verordnung. •Ausführliche Erläuterung einzelner Bestimmungen des Vorschlags

Titel I der Verordnung enthält die allgemeinen Bestimmungen: den Gegenstand (Artikel 1), die Begriffsbestimmungen (Artikel 2), einschließlich Verweise auf einschlägige Begriffsbestimmungen aus anderen EU-Rechtsinstrumenten, etwa aus der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (NIS -Richtlinie), aus der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates über die Vorschriften für die Akkreditierung und Marktüberwachung im Zusammenhang mit der Vermarktung von Produkten und zur Aufhebung der Verordnung (EWG) Nr. 339/93 und aus der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates zur europäischen Normung. Titel II der Verordnung enthält die wichtigsten Bestimmungen zur ENISA, der EU-Cybersicherheitsagentur. In Kapitel I dieses Titels werden das Mandat (Artikel 3), die Ziele (Artikel 4) und die Aufgaben der Agentur (Artikel 5 bis 11) beschrieben. In Kapitel II wird die Organisation der ENISA beschrieben, zudem enthält es wichtige Bestimmungen über ihre Struktur (Artikel 12). Zudem enthält es Bestimmungen, die die Zusammensetzung, die Abstimmungsregeln und die Funktionen des Verwaltungsrats (Abschnitt 1 Artikel 13 bis 17), den Exekutivausschuss (Abschnitt 2 Artikel 18) und den Exekutivdirektor (Abschnitt 3 Artikel 19) betreffen. Ebenso finden sich dort Regelungen zur Zusammensetzung und Rolle der Ständigen Gruppe der Interessenträger (Abschnitt 4 Artikel 20). Zu guter Letzt wird in Abschnitt 5 dieses Kapitels die Arbeitsweise der Agentur präzisiert, einschließlich der Programmplanung, möglicher Interessenkonflikte, der Transparenz und Vertraulichkeit und des Zugangs zu Dokumenten (Artikel 21 bis 25). Kapitel III betrifft die Aufstellung und Gliederung des Haushaltsplans der Agentur (Artikel 26 und 27) sowie die Regeln für seine Ausführung (Artikel 28 und 29). Das Kapitel enthält auch Bestimmungen zur Erleichterung der Bekämpfung von Betrug, Korruption und sonstigen rechtswidrigen Handlungen (Artikel 30). Kapitel IV betrifft das Personal der Agentur. Es enthält allgemeine Bestimmungen zum Statut der Beamten und zu den Beschäftigungsbedingungen sowie Vorschriften über Vorrechte und Befreiungen (Artikel 31 und 32). Geregelt werden auch die Einstellung und die Ernennung des Exekutivdirektors der Agentur (Artikel 33). Und nicht zuletzt enthält das Kapitel Vorschriften für den Rückgriff auf abgeordnete nationale Sachverständige oder sonstiges Personal, das nicht von der Agentur beschäftigt wird (Artikel 34). Kapitel V schließlich enthält die allgemeinen Bestimmungen zur Agentur. Gegenstand des Kapitels sind die Rechtsform der Agentur (Artikel 35), Bestimmungen zur Haftung, zur Sprachenregelung und zum Schutz personenbezogener Daten (Artikel 36 bis 38) sowie Sicherheitsvorschriften für den Schutz von Verschlusssachen und nicht als Verschlusssache eingestuften vertraulichen Informationen (Artikel 40). In dem Kapitel sind auch Vorschriften für die Zusammenarbeit der Agentur mit Drittländern und internationalen Organisationen (Artikel 39) festgelegt. Darüber hinaus enthält das Kapitel auch Bestimmungen über den Sitz der Agentur und die Betriebsbedingungen sowie über die Verwaltungskontrolle durch den Europäischen Bürgerbeauftragten (Artikel 41 und 42). In Titel III der Verordnung wird der europäische Zertifizierungsrahmen für die Cybersicherheit von IKT-Produkten und Diensten („der Rahmen“) als lex generalis (Artikel 1) festgelegt. In ihm wird festgelegt, welcher allgemeine Zweck mit europäischen Systemen für die Cybersicherheitszertifizierung verfolgt wird, nämlich dafür zu sorgen, dass IKT-Produkte und Dienste auf einer bestimmten Vertrauenswürdigkeitsstufe den festgelegten Anforderungen an ihre Fähigkeit genügen, Handlungen zu widerstehen, die die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von gespeicherten, übermittelten oder verarbeiteten Daten oder die damit verbundenen Funktionen oder Dienste beeinträchtigen (Artikel 43). Darüber hinaus werden die Sicherheitsziele der europäischen Systeme für die Cybersicherheitszertifizierung aufgeführt (Artikel 45), u. a. die Fähigkeit zum Schutz der Daten gegen einen zufälligen oder unrechtmäßigen Zugang, gegen eine zufällige oder unrechtmäßige Offenlegung, Zerstörung oder Veränderung; genannt werden auch die Inhalte (d. h. die Elemente) der europäischen Systeme für die Cybersicherheitszertifizierung, z. B. die genaue Festlegung ihres Gegenstands und Umfangs, der Sicherheitsziele, Bewertungskriterien usw. (Artikel 47). In Titel III werden außerdem die wichtigsten Rechtswirkungen der europäischen Systeme für die Cybersicherheitszertifizierung festgelegt, nämlich i) die Verpflichtung zur Einführung des Systems auf nationaler Ebene und die Freiwilligkeit der Zertifizierung; ii) der Verlust der Gültigkeit nationaler Systeme, wenn es für dieselben Produkte oder Dienste ein europäisches System für die Cybersicherheitszertifizierung gibt (Artikel 48 und 49). In diesem Titel werden das Verfahren für die Annahme europäischer Systeme für die Cybersicherheitszertifizierung und die jeweilige Rolle der Kommission, der ENISA und der Europäischen Gruppe für die Cybersicherheitszertifizierung (die „Gruppe“) festgelegt (Artikel 44). Ebenfalls in diesem Titel enthalten sind Bestimmungen über die Konformitätsbewertungsstellen, einschließlich der Anforderungen an sie, ihrer Befugnisse und Aufgaben, sowie Bestimmungen über die nationalen Aufsichtsbehörden für die Zertifizierung und Sanktionen. In diesem Titel wird auch die Gruppe als ein wesentliches Gremium eingesetzt, das sich aus Vertretern der nationalen Aufsichtsbehörden für die Zertifizierung zusammensetzt und deren Hauptfunktion darin besteht, mit der ENISA bei der Ausarbeitung europäischer Systeme für die Cybersicherheitszertifizierung zu kooperieren und die Kommission in allgemeinen und spezifischen Fragen der Politik im Bereich der Cybersicherheitszertifizierung zu beraten. Titel IV der Verordnung enthält die Schlussbestimmungen, in denen die Ausübung der Befugnisübertragung, die Bewertungsanforderungen, Aufhebung und Rechtsnachfolge sowie das Inkrafttreten geregelt sind.



2017/0225 (COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die „EU-Cybersicherheitsagentur“ (ENISA) und zur Aufhebung der Verordnung (EU) Nr. 526/2013 sowie über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik („Rechtsakt zur Cybersicherheit“) (Text von Bedeutung für den EWR) DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION - gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 114,

auf Vorschlag der Europäischen Kommission, nach Übermittlung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente, nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses, nach Stellungnahme des Ausschusses der Regionen, nach dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1)Netz- und Informationssysteme sowie Telekommunikationsnetze und dienste spielen eine lebenswichtige Rolle für die Gesellschaft und sind mittlerweile zum Hauptmotor des Wirtschaftswachstums geworden. Die Informations- und Kommunikationstechnik bildet das Rückgrat der komplexen Systeme, die gesellschaftliche Tätigkeiten unterstützen und unsere Volkswirtschaften in Schlüsselsektoren wie Gesundheit, Energie, Finanzen und Verkehr aufrechterhalten und die insbesondere dafür sorgen, dass der Binnenmarkt reibungslos funktioniert. (2)Die Nutzung von Netz- und Informationssystemen durch Bürger, Unternehmen und Behörden ist mittlerweile in der Union allgegenwärtig. Digitalisierung und Konnektivität entwickeln sich zu Kernmerkmalen einer ständig steigenden Zahl von Produkten und Dienstleistungen. Mit dem Aufkommen des Internets der Dinge dürften in den nächsten Jahrzehnten Millionen, wenn nicht Milliarden vernetzte digitale Geräte unionsweit Verbreitung finden. Zwar sind immer mehr Geräte mit dem Internet vernetzt, doch verfügen sie über eine nur unzureichende Cybersicherheit, da die Sicherheit und Abwehrfähigkeit dieser Geräte schon bei der Konzeption nicht ausreichend berücksichtigt wurden. Vor diesem Hintergrund führt die geringe Zertifizierung dazu, dass Personen, die IKT-Produkte und Dienste für unternehmerische oder private Zwecke nutzen, nur unzureichend über deren Cybersicherheitsmerkmale informiert werden, wodurch das Vertrauen in digitale Lösungen untergraben wird. (3)Mit der zunehmenden Digitalisierung und Vernetzung steigen auch die Cybersicherheitsrisiken, wodurch die Gesellschaft insgesamt anfälliger für Cyberbedrohungen wird und die Gefahren zunehmen, denen Privatpersonen und insbesondere schutzbedürftige Personengruppen wie Kinder ausgesetzt sind. Um dieser Gefahr für die Gesellschaft zu begegnen, gilt es alle für die Erhöhung der Cybersicherheit in der EU notwendigen Maßnahmen zu ergreifen, um die Netz- und Informationssysteme, die Telekommunikationsnetze und die digitalen Produkte, Dienste und Geräte, die von Privatpersonen, Behörden und Unternehmen – von KMU bis zu Betreibern kritischer Infrastrukturen – genutzt werden, vor Cyberbedrohungen zu schützen. (4)Cyberangriffe nehmen zu und eine Wirtschaft und Gesellschaft, die durch ihre Vernetzung anfälliger für Cyberbedrohungen und angriffe ist, benötigt daher einen stärkeren Schutz. Auf die häufig grenzüberschreitenden Cyberangriffe reagieren die für die Cybersicherheit zuständigen Behörden jedoch vor allem mit nationalen Strategien, zumal die Zuständigkeiten für die Strafverfolgung an den nationalen Grenzen enden. Cybersicherheitsvorfälle großen Ausmaßes könnten die Bereitstellung wesentlicher Dienste in der gesamten EU empfindlich stören. Vonnöten sind daher effektive Maßnahmen und ein Krisenmanagement auf EU-Ebene, gestützt auf gezielte Strategien, sowie ein breiter angelegtes Instrumentarium für eine europäische Solidarität und gegenseitige Hilfe. Zudem sind eine auf zuverlässigen Daten der Union basierende regelmäßige Überprüfung des Stands der Cybersicherheit und Abwehrfähigkeit in der Union sowie eine systematische Prognose künftiger Entwicklungen, Herausforderungen und Bedrohungen – sowohl auf Unionsebene als auch auf globaler Ebene – für die Entscheidungsträger, die Branche und die Nutzer daher gleichermaßen wichtig. (5)Angesichts immer größerer Herausforderungen, die sich der Union im Bereich der Cybersicherheit stellen, bedarf es eines umfassenden Maßnahmenpakets, das auf den bisherigen Maßnahmen der Union aufbaut und sich wechselseitig verstärkende Ziele unterstützt. Dies beinhaltet eine weitere Stärkung der Fähigkeiten und der Abwehrbereitschaft der Mitgliedstaaten und Unternehmen sowie eine bessere Zusammenarbeit und Koordinierung zwischen den Mitgliedstaaten und den Organen, Einrichtungen und Stellen der EU. Da Cyberbedrohungen an keinen Grenzen Halt machen, gilt es zudem, die Fähigkeiten auf Unionsebene zu stärken, die einzelstaatliche Maßnahmen vor allem dann ergänzen könnten, wenn es sich um grenzüberschreitende Cybersicherheitsvorfälle und krisen von großem Ausmaß handelt. Darüber hinaus sind weitere Anstrengungen notwendig, um die Bürgerinnen und Bürger sowie die Unternehmen für Fragen der Cybersicherheit zu sensibilisieren. Ferner ließe sich das Vertrauen in den digitalen Binnenmarkt weiter erhöhen, wenn transparente Informationen über das Niveau der Sicherheit von IKT-Produkten und Diensten zur Verfügung stünden. Erleichtert werden kann dies durch eine Zertifizierung, für die über nationale Märkte und Sektoren hinaus unionsweit einheitliche Anforderungen und Bewertungskriterien für die Cybersicherheit festgelegt werden. (6)Im Jahr 2004 verabschiedeten das Europäische Parlament und der Rat die Verordnung (EG) Nr. 460/2004 zur Errichtung der ENISA als Beitrag zu den Zielen, innerhalb der Union eine hohe und effektive Netz- und Informationssicherheit zu gewährleisten und eine Kultur der Netz- und Informationssicherheit zu entwickeln, die Bürgern, Verbrauchern, Unternehmen und Behörden zugute kommt. Durch die im Jahr 2008 vom Europäischen Parlament und vom Rat erlassene Verordnung (EG) Nr. 1007/2008 wurde das Mandat der Agentur bis März 2012 verlängert. Durch die Verordnung (EG) Nr. 580/2011 wurde das Mandat der Agentur nochmals bis zum 13. September 2013 verlängert. Im Jahr 2013 erließen das Europäische Parlament und der Rat die Verordnung (EU) Nr. 526/2013 über die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) und zur Aufhebung der Verordnung (EG) Nr. 460/2004, mit der das Mandat der Agentur bis zum Juni 2020 verlängert wurde. (7)Europa hat bereits wichtige Maßnahmen ergriffen, um die Cybersicherheit zu gewährleisten und das Vertrauen in die digitale Technik zu stärken. Im Jahr 2013 wurde eine EU-Cybersicherheitsstrategie verabschiedet, die der Union als Orientierung für strategische Reaktionen auf Cybersicherheitsbedrohungen und risiken dienen soll. Im Zuge ihrer Bemühungen, den Online-Schutz der Europäerinnen und Europäer zu erhöhen, verabschiedete die Union im Jahr 2016 mit der Richtlinie (EU) 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union den ersten Rechtsakt auf dem Gebiet der Cybersicherheit (im Folgenden die „NIS-Richtlinie“). Mit der NIS-Richtlinie wurden Anforderungen an die nationalen Fähigkeiten im Bereich der Cybersicherheit sowie erstmals Mechanismen zur Stärkung der strategischen und operativen Zusammenarbeit zwischen den Mitgliedstaaten festgelegt sowie Verpflichtungen in Bezug auf die Sicherheitsmaßnahmen und die Meldung von Sicherheitsvorfällen für die Sektoren, die für die Wirtschaft und Gesellschaft lebenswichtig sind (Energie, Verkehr, Wasserwirtschaft, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, digitale Infrastrukturen) sowie für Anbieter zentraler digitaler Dienste (Suchmaschinen, Cloud-Computing-Dienste und Online-Marktplätze) eingeführt. Eine zentrale Aufgabe bei der Umsetzung dieser Richtlinie wurde dabei der ENISA zugewiesen. Darüber hinaus ist die wirksame Bekämpfung der Cyberkriminalität als ein Aspekt bei der Verfolgung des übergeordneten Ziels einer hohen Cybersicherheit ein wichtiger Schwerpunkt der Europäischen Sicherheitsagenda. (8)Seit der Verabschiedung der EU-Cybersicherheitsstrategie im Jahr 2013 und der letzten Überarbeitung des Mandats der Agentur hat sich der gesamtpolitische Rahmen deutlich verändert, auch in Bezug auf die größeren Unwägbarkeiten und die geringere Sicherheit im globalen Umfeld. Vor diesem Hintergrund und angesichts der neuen Unionspolitik im Bereich der Cybersicherheit muss das Mandat der ENISA im Hinblick auf ihre neue Rolle in dem veränderten Cybersicherheitsökosystem überarbeitet werden, damit sie die Union wirksam darin unterstützen kann, auf die Herausforderungen im Bereich der Cybersicherheit zu reagieren, die sich aus dieser grundlegend veränderten Bedrohungslandschaft ergeben und für die, wie in der Bewertung der Agentur bestätigt, das laufende Mandat nicht ausreicht. (9)Die mit dieser Verordnung errichtete Agentur sollte Rechtsnachfolgerin der durch die Verordnung (EG) Nr. 526/2013 errichteten ENISA sein. Die Agentur sollte die Aufgaben wahrnehmen, die ihr mit dieser Verordnung und den Rechtsakten der Union im Bereich der Cybersicherheit übertragen werden, indem sie unter anderem Sachkenntnis bereitstellt, Beratung bietet und die Rolle eines Informations- und Wissenszentrums der Union übernimmt. Sie sollte den Austausch bewährter Verfahren zwischen den Mitgliedstaaten und privaten Interessenträgern fördern, der Europäischen Kommission und den Mitgliedstaaten strategische Vorschläge unterbreiten, als Bezugspunkt für sektorspezifische politische Initiativen der Union im Bereich der Cybersicherheit dienen und die operative Zusammenarbeit zwischen den Mitgliedstaaten sowie zwischen den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der EU fördern. (10)Mit dem Beschluss 2004/97/EG, Euratom, der auf der Tagung des Europäischen Rates vom 13. Dezember 2003 angenommen wurde, legten die Vertreter der Mitgliedstaaten fest, dass die ENISA ihren Sitz in Griechenland in einer von der griechischen Regierung zu bestimmenden Stadt haben soll. Der Sitzmitgliedstaat der Agentur sollte die bestmöglichen Voraussetzungen für eine reibungslose und effiziente Tätigkeit der Agentur gewährleisten. Damit die Agentur ihre Aufgaben ordnungsgemäß und effizient erfüllen, Personal einstellen und binden und die Effizienz der Vernetzungsmaßnahmen steigern kann, ist es unbedingt erforderlich, sie an einem geeigneten Standort anzusiedeln, der unter anderem eine angemessene Verkehrsanbindung sowie Einrichtungen für die Ehepartner und Kinder des Personals der Agentur bietet. Die erforderlichen Modalitäten sollten in einem Abkommen zwischen der Agentur und dem Sitzmitgliedstaat festgelegt werden, das nach Billigung durch den Verwaltungsrat der Agentur geschlossen wird. (11)Angesichts der zunehmenden Herausforderungen, mit denen die Union im Bereich der Cybersicherheit konfrontiert ist, sollten die Mittelzuweisungen für die Agentur erhöht werden, damit ihre finanzielle und personelle Ausstattung ihrer größeren Rolle und ihren umfangreicheren Aufgaben sowie ihrer wichtigen Stellung im Kreise der Organisationen gerecht werden kann, die das digitale Ökosystem der EU verteidigen. (12)Die Agentur sollte ein hohes Niveau an Sachkenntnis entwickeln und pflegen und durch ihre Unabhängigkeit, die Qualität ihrer Beratung und der von ihr verbreiteten Informationen, die Transparenz ihrer Verfahren und Arbeitsmethoden sowie die Sorgfalt, mit der sie ihre Aufgaben erfüllt, als Bezugspunkt Vertrauen in den Binnenmarkt schaffen. Die Agentur sollte die Bemühungen der Mitgliedstaaten und der Union proaktiv unterstützen und ihre Aufgaben in uneingeschränkter Zusammenarbeit mit den Organen, Einrichtungen und sonstigen Stellen der Union und den Mitgliedstaaten wahrnehmen. Außerdem sollte sich die Agentur auf die Beiträge des Privatsektors sowie auf die Zusammenarbeit mit diesem und anderen einschlägigen Interessenträgern stützen. Mit einer Reihe von Aufgaben sollte bei gleichzeitiger Wahrung der Flexibilität in ihrer Tätigkeit vorgegeben werden, wie die Agentur ihre Ziele erreichen soll. (13)Die Agentur sollte die Kommission, auch in Bezug auf den Schutz kritischer Infrastrukturen und die Fähigkeit zur Abwehr von Cyberangriffen, mit Beratung, Stellungnahmen und Analysen zu allen Angelegenheiten der Union, die mit der Ausarbeitung, Aktualisierung und Überprüfung von Strategien und Rechtsvorschriften im Bereich der Cybersicherheit zusammenhängen, unterstützen. Für sektorspezifische Strategien und Rechtsetzungsinitiativen der Union im Zusammenhang mit der Cybersicherheit sollte die Agentur als Bezugspunkt für Beratung und Sachkenntnis dienen. (14)Die Agentur hat grundsätzlich die Aufgabe, die einheitliche Umsetzung des einschlägigen Rechtsrahmens, vor allem die wirksame Umsetzung der NIS-Richtlinie, zu unterstützen, was für die Stärkung der Abwehrfähigkeit gegen Cyberangriffe unerlässlich ist. Angesichts der sich rasch weiterentwickelnden Bedrohungen für die Cybersicherheit müssen die Mitgliedstaaten beim Aufbau der Abwehrfähigkeit gegen Cyberangriffe natürlich mit einem umfassenderen und ressortübergreifenden Konzept unterstützt werden.

(15)Die Agentur sollte die Organe, Einrichtungen und sonstigen Stellen der Union sowie die Mitgliedstaaten in ihrem Bemühen um den Auf- und Ausbau der Fähigkeiten und der Bereitschaft zur Verhütung, Erkennung und Bewältigung von Cybersicherheitsproblemen und von Sicherheitsvorfällen im Zusammenhang mit der Netz- und Informationssicherheit unterstützen. So sollte die Agentur den Auf- und Ausbau der nationalen CSIRTs unterstützen, damit sie ein unionsweit hohes Maß an Ausgereiftheit erreichen. Zudem sollte die Agentur die Ausarbeitung und Aktualisierung von Strategien der Union und der Mitgliedstaaten im Bereich der Netz- und Informationssysteme, insbesondere der Cybersicherheit, unterstützen, deren Verbreitung fördern und deren Umsetzung verfolgen. Die Agentur sollte öffentlichen Stellen auch Ausbildungsmaßnahmen und Ausbildungsmaterial anbieten und gegebenenfalls Ausbilder weiterbilden, um die Mitgliedstaaten darin zu unterstützen, eigene Ausbildungskapazitäten aufzubauen. (16)Die Agentur sollte die auf der Grundlage der NIS-Richtlinie eingesetzte Kooperationsgruppe bei der Wahrnehmung ihrer Aufgaben unterstützen, indem sie vor allem ihre Sachkenntnis und Beratung zur Verfügung stellt und den Austausch bewährter Verfahren erleichtert, insbesondere was die Ermittlung von Betreibern wesentlicher Dienste durch die Mitgliedstaaten in Bezug auf Risiken und Sicherheitsvorfälle anbelangt, auch mit Blick auf grenzüberschreitende Abhängigkeiten. (17)Die Agentur sollte als Anreiz für die Zusammenarbeit zwischen dem öffentlichen und privaten Sektor, vor allem als Beitrag zum Schutz kritischer Infrastrukturen, den Aufbau sektorbezogener Informationsaustausch- und analysezentren (Information Sharing and Analysis Centres – ISACs) erleichtern, indem sie bewährte Verfahren und Leitfäden zu den vorhandenen Werkzeugen und Verfahren zur Verfügung stellt und aufzeigt, wie regulatorische Fragen im Zusammenhang mit der Informationsweitergabe geklärt werden können. (18)Die Agentur sollte die nationalen Berichte der CSIRTs und des CERT-EU zusammenstellen und auswerten und darüber hinaus für den Informationsaustausch gemeinsame Regeln aufstellen, die Sprache festlegen und terminologische Vereinbarungen treffen. Im Rahmen der NIS-Richtlinie, die mit der Errichtung des CSIRTs-Netzes die Grundlage für den freiwilligen Austausch technischer Informationen auf operativer Ebene geschaffen hat, sollte die Agentur auch den Privatsektor einbeziehen. (19)Die Agentur sollte dazu beitragen, dass bei massiven grenzüberschreitenden Cybersicherheitsvorfällen und krisen eine Reaktion auf EU-Ebene erfolgt. Hierzu sollte sie u. a. relevante Informationen zusammenstellen und den Kontakt zwischen dem CSIRTs-Netz und den Fachkreisen sowie den für das Krisenmanagement zuständigen Entscheidungsträgern erleichtern. Zudem könnte die Agentur die Bewältigung von Sicherheitsvorfällen aus technischer Sicht unterstützen, indem sie den Austausch entsprechender technischer Lösungen zwischen den Mitgliedstaaten erleichtert und Beiträge für die Öffentlichkeitsarbeit liefert. Die Agentur sollte den Prozess unterstützen, indem sie die Modalitäten einer solchen Zusammenarbeit im Rahmen jährlich stattfindender Cybersicherheitsübungen testet. (20)Für ihre operativen Aufgaben sollte die Agentur im Wege einer strukturierten Zusammenarbeit in räumlicher Nähe auf den bei der CERT-EU vorhandenen Sachverstand zurückgreifen. Die strukturierte Zusammenarbeit erleichtert die notwendigen Synergien und den Aufbau von Sachkenntnis bei der ENISA. Für die Festlegung der praktischen Aspekte einer solchen Kooperation sollten zwischen den beiden Organisationen die hierfür notwendigen Modalitäten festgelegt werden. (21)Entsprechend ihren operativen Aufgaben sollte die Agentur in der Lage sein, die Mitgliedstaaten beispielsweise mit Rat, technischer Hilfe oder Analysen von Bedrohungen und Sicherheitsvorfällen zu unterstützen. Der Empfehlung der Kommission über die koordinierte Reaktion auf große Cybersicherheitsvorfälle und krisen zufolge sollten die Mitgliedstaaten in gutem Glauben untereinander sowie mit der ENISA Informationen über massive Cybersicherheitsvorfälle und krisen unverzüglich austauschen. Diese Informationen dürften zudem der ENISA helfen, ihre operativen Aufgaben wahrzunehmen. (22)Als Teil der regulären Zusammenarbeit auf technischer Ebene zur Unterstützung der EU-Lageeinschätzung sollte die Agentur auf der Grundlage öffentlich verfügbarer Informationen, ihrer eigenen Analysen und anhand von Berichten, die sie (auf freiwilliger Basis) von den CSIRTs der Mitgliedstaaten oder den zentralen Anlaufstellen gemäß der NIS-Richtlinie, dem Europäischen Zentrum zur Bekämpfung der Cyberkriminalität (EC3) bei Europol und dem CERT-EU sowie gegebenenfalls dem EU-Zentrum für Informationsgewinnung und analyse (INTCEN) des Europäischen Auswärtigen Dienstes (EAD) erhalten hat, regelmäßig den EU-Cybersicherheitslagebericht über Cybervorfälle und bedrohungen erstellen. Der Bericht sollte den einschlägigen Stellen des Rates, der Kommission, der Hohen Vertreterin der Union für die Gemeinsame Außen- und Sicherheitspolitik und dem CSIRTs-Netz zur Verfügung gestellt werden. (23)Nachträgliche technische Untersuchungen von Sicherheitsvorfällen mit beträchtlichen Auswirkungen in mehreren Mitgliedstaaten, die die Agentur auf Ersuchen der betreffenden Mitgliedstaaten oder im Einvernehmen mit diesen durchführt, sollten sich auf die Verhütung künftiger Sicherheitsvorfälle konzentrieren und unbeschadet jeglicher juristischer oder administrativer Verfahren zur Klärung der Schuld- oder Haftungsfrage durchgeführt werden. (24)Unbeschadet des Artikels 346 des Vertrags über die Arbeitsweise der Europäischen Union oder anderer politischer Gründe sollten die betreffenden Mitgliedstaaten der Agentur die für die Zwecke der Untersuchung notwendigen Informationen und Hilfen zur Verfügung stellen. (25)Die Mitgliedstaaten können die von dem Sicherheitsvorfall betroffenen Unternehmen auffordern, mit der Agentur zusammenzuarbeiten und dieser unbeschadet ihres Rechts, sensible Geschäftsinformationen zu schützen, die notwendigen Informationen und Hilfen zur Verfügung stellen. (26)Um die Herausforderungen im Bereich der Cybersicherheit besser verstehen und den Mitgliedstaaten und EU-Organen langfristige strategische Beratung anbieten zu können, muss die Agentur aktuelle und neu auftretende Risiken analysieren. Hierzu sollte die Agentur in Zusammenarbeit mit den Mitgliedstaaten und gegebenenfalls Statistikämtern und anderen Stellen einschlägige Informationen sammeln und Analysen neu entstehender Technik sowie themenspezifische Bewertungen dazu durchführen, welche gesellschaftlichen, rechtlichen, wirtschaftlichen und regulatorischen Folgen technische Innovationen auf die Netz- und Informationssicherheit, insbesondere die Cybersicherheit, haben. Die Agentur sollte die Mitgliedstaaten sowie die Organe, Einrichtungen und sonstigen Stellen der EU darüber hinaus bei der Ermittlung sich abzeichnender Trends und bei der Vermeidung von Problemen im Zusammenhang mit der Cybersicherheit unterstützen, indem sie Analysen der Bedrohungen und Sicherheitsvorfälle durchführt. (27)Um die Abwehrfähigkeit der Union zu stärken, sollte die Agentur Spitzenkompetenzen im Bereich der Sicherheit der Internetinfrastruktur und kritischer Infrastrukturen aufbauen, um so Beratung, Leitlinien und bewährte Verfahren zur Verfügung stellen zu können. Um den Zugang zu besser strukturierten Informationen über Cybersicherheitsrisiken und mögliche Abhilfemaßnahmen zu erleichtern, sollte die Agentur das Informationsportal der Union aufbauen und pflegen, über das der Öffentlichkeit Informationen der Organe, Einrichtungen und sonstigen Stellen der EU und der Mitgliedstaaten zur Cybersicherheit gegeben werden. (28)Die Agentur sollte dabei mitwirken, die Öffentlichkeit für Cybersicherheitsrisiken zu sensibilisieren, und Leitlinien für bewährte Verfahren zur Verfügung stellen, die sich an Bürger sowie an Organisationen wenden. Darüber hinaus sollte die Agentur einen Beitrag dazu leisten, bewährte Verfahren und Lösungen auf der Ebene von Einzelpersonen und Organisationen zu fördern, indem sie öffentlich verfügbare Informationen über erhebliche Sicherheitsvorfälle sammelt und analysiert und Berichte hierüber erstellt, die Unternehmen und Bürgern als Leitfaden dienen können und die das Niveau der Abwehrbereitschaft und Abwehrfähigkeit insgesamt erhöhen. Ferner sollte die Agentur in Zusammenarbeit mit den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der EU regelmäßige öffentliche Aufklärungskampagnen durchführen, die sich an die Endnutzer richten und zum Ziel haben, sicherere Verhaltensweisen der Nutzer im Internet zu fördern, die Nutzer für potenzielle Bedrohungen im Internet – auch für die Cyberkriminalität wie das Abgreifen von Daten (Phishing), Botnets, Finanz- und Bankenbetrug – stärker zu sensibilisieren und einfache Empfehlungen in Bezug auf Authentifizierung und Datenschutz zu geben. Die Agentur sollte eine zentrale Rolle dabei spielen, die Sensibilisierung der Endnutzer für die Sicherheit von Geräten zu forcieren. (29)Um die im Cybersicherheitssektor tätigen Unternehmen und die Nutzer von Cybersicherheitslösungen zu unterstützen, sollte die Agentur eine „Marktbeobachtungsstelle“ aufbauen und pflegen, die die wichtigsten Nachfrage- und Angebotstrends auf dem Cybersicherheitsmarkt regelmäßig analysiert und bekannt macht. (30)Damit die Agentur ihre Ziele in vollem Umfang verwirklichen kann, sollte sie zu den einschlägigen Organen, Einrichtungen und sonstigen Stellen der EU Kontakt halten – etwa zum CERT-EU, zum Europäischen Zentrum zur Bekämpfung der Cyberkriminalität (EC3) bei Europol, zur Europäischen Verteidigungsagentur (EDA), zur Europäischen Agentur für das Betriebsmanagement von IT-Großsystemen (eu-LISA), zur Europäischen Agentur für Flugsicherheit (EASA) und zu sonstigen EU-Agenturen, die sich mit Fragen der Cybersicherheit beschäftigen. Für den Austausch von Know-how und bewährten Verfahren und für die Beratung zu Aspekten der Cybersicherheit, die sich auf die Arbeit von Datenschutzbehörden auswirken können, sollte die Agentur auch mit diesen in Verbindung stehen. Vertreter der Strafverfolgungs- und der Datenschutzbehörden auf nationaler Ebene und auf Unionsebene sollten als Vertreter für eine Mitwirkung in der Ständigen Gruppe der Interessenträger der Agentur in Frage kommen. Bei ihren Kontakten mit Strafverfolgungsbehörden in Bezug auf Netz- und Informationssicherheitsaspekte, die sich möglicherweise auf deren Arbeit auswirken, sollte die Agentur vorhandene Informationskanäle und bestehende Netze beachten. (31)Als Mitglied des CSIRTs-Netzes sollte die Agentur, die zudem das Sekretariat des Netzes stellt, über die in der NIS-Richtlinie festgelegten einschlägigen Aufgaben hinaus die CSIRTs der Mitgliedstaaten und das CERT-EU bei der operativen Zusammenarbeit unterstützen. Zudem sollte sie unter gebührender Berücksichtigung der Standardbetriebsverfahren des CSIRTs-Netzes die Zusammenarbeit zwischen den jeweiligen CSIRTs bei Sicherheitsvorfällen, Angriffen oder Störungen der von den CSIRTs verwalteten oder geschützten Netze oder Infrastrukturen, die mindestens zwei CERTs betreffen oder betreffen können, fördern und unterstützen. (32)Zur Erhöhung der Abwehrbereitschaft der Union bei Cybersicherheitsvorfällen sollte die Agentur auf Unionsebene jährliche Cybersicherheitsübungen organisieren und die Mitgliedstaaten sowie die Organe, Einrichtungen und sonstigen Stellen der EU auf deren Ersuchen hin bei der Organisation solcher Übungen unterstützen. (33)Die Agentur sollte ihre Sachkenntnis im Bereich der Cybersicherheitszertifizierung weiter ausbauen und pflegen, damit sie die Unionspolitik auf diesem Gebiet unterstützen kann. Die Agentur sollte die Nutzung der Cybersicherheitszertifizierung in der Union fördern, auch indem sie zum Aufbau und zur Pflege eines Cybersicherheitszertifizierungsrahmens auf Unionsebene beiträgt, um so die auf mehr Transparenz gestützte Vertrauenswürdigkeit der Cybersicherheit von IKT-Produkten und Diensten zu erhöhen und damit das Vertrauen in den digitalen Binnenmarkt zu stärken. (34)Effiziente Cybersicherheitsstrategien sollten sowohl im öffentlichen als auch im privaten Sektor auf sorgfältig entwickelten Risikobewertungsmethoden beruhen. Risikobewertungsmethoden werden auf verschiedenen Ebenen angewandt, ohne dass es eine einheitliche Vorgehensweise für deren effiziente Anwendung gibt. Durch die Förderung und Entwicklung bewährter Verfahren für die Risikobewertung und interoperabler Lösungen für das Risikomanagement innerhalb von Organisationen des öffentlichen und des privaten Sektors wird das Niveau der Cybersicherheit in der Union erhöht. Zu diesem Zweck sollte die Agentur die Zusammenarbeit zwischen Interessenträgern auf Unionsebene unterstützen und Hilfestellung bei deren Bemühungen um die Festlegung und Einführung von europäischen und internationalen Normen für das Risikomanagement und eine messbare Sicherheit in Bezug auf elektronische Produkte, Systeme, Netze und Dienste leisten, die im Zusammenwirken mit Software die Netz- und Informationssysteme bild