Dieser Vorschlag zielt darauf ab, die Resilienz der Organe, Einrichtungen und sonstigen Stellen der Union im Bereich der Cybersicherheit gegen Cyberbedrohungen zu erhöhen und zugleich an die bestehenden Rechtsvorschriften – die Richtlinie (EU) 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netzen und Informationssystemen in der Union – anzupassen.

Mit dem Vorschlag wird das CERT-EU von „Reaktionsteam für IT-Sicherheitsvorfälle (Computer Emergency Response Team - CERT) umbenannt in „Cybersicherheitszentrum“ für die Organe, Einrichtungen und sonstigen Stellen der Union, was im Einklang mit den Entwicklungen in den Mitgliedstaaten und weltweit steht, wo viele CERTs in Cybersicherheitszentren umbenannt werden, die Kurzbezeichnung „CERT-EU“ wird jedoch aufgrund ihres Wiedererkennungswerts beibehalten.

Angesichts der veränderten und vermehrten Digitalisierung der Organe, Einrichtungen und sonstigen Stellen in den letzten Jahren und der sich wandelnden Bedrohungslandschaft im Bereich der Cybersicherheit wird mit dem Vorschlag der bestehende Rechtsrahmen des CERT-EU modernisiert. Beide Entwicklungen haben seit Beginn der COVID-19-Krise noch an Intensität gewonnen, wobei die Zahl der Sicherheitsvorfälle weiter steigt und immer ausgefeiltere Angriffe aus einer Vielzahl von Quellen kommen.

Zwischen 2019 und 2021 ist bei den Organen, Einrichtungen und sonstigen Stellen der Union die Zahl der erheblichen Sicherheitsvorfälle, die von Verursachern ausgingen, die als „fortgeschrittene andauernde Bedrohung“ (Advanced Persistent Threat, APT) eingestuft wurden, dramatisch gestiegen. Im ersten Halbjahr 2021 gab es so viele erhebliche Sicherheitsvorfälle wie im gesamten Jahr 2020. Dies spiegelt sich auch in der Zahl der 2020 vom CERT-EU analysierten forensischen Abbilder (Momentaufnahmen der betroffenen Systeme oder Geräte) wider, die sich im Vergleich zu 2019 mehr als verdreifacht hat, während die Zahl der erheblichen Sicherheitsvorfälle seit 2018 sogar um mehr als das Zehnfache gestiegen ist.

Darüber hinaus wurde in der Analyse untersucht, wie sich größere aktuelle Veränderungen auf die Art und Weise auswirken, in der die Organe der Union ihre IT-Infrastrukturen und -Dienste verwalten und nutzen. Hierzu zählen unter anderem:

·Bedrohungen, die im Umfeld der Organe, Einrichtungen und sonstigen Stellen der Union festgestellt werden (z. B. in mit ihnen verbundenen Sektoren, bei ihren Interessengruppen oder in Europa),

Die in dieser Verordnung vorgeschlagenen Regeln gehen nicht über das für die zufriedenstellende Verwirklichung der spezifischen Ziele erforderliche Maß hinaus. Die geplanten Maßnahmen werden dazu beitragen, ein hohes gemeinsames Cybersicherheitsniveau zu erreichen, ohne über das hinauszugehen, was angesichts der zunehmend hohen Risiken, denen sie ausgesetzt sind, zum Erreichen des verfolgten Ziels erforderlich ist.

Die Verordnung zur Festlegung von Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union fällt in die ausschließliche Zuständigkeit der Union.

Darüber hinaus stellen, wie in Abschnitt 3 erläutert, die derzeit unterschiedlichen Reifegrade, die in den Organen, Einrichtungen und sonstigen Stellen der Union in Bezug auf den Cybersicherheitsstand und die Konzepte in Fragen der Cybersicherheit bestehen, weitere Hindernisse für eine offene, effiziente und unabhängige europäische Verwaltung dar. Ohne einen gemeinsamen Ansatz würde sich der Cybersicherheitsstand der Organe, Einrichtungen und sonstigen Stellen der Union weiterhin in unterschiedliche Richtungen entwickeln. Diese Rechtsgrundlage ist daher angemessen, da mit der Verordnung ein gemeinsamer Rechtsrahmen für die Cybersicherheit innerhalb der Organe, Einrichtungen und sonstigen Stellen der Union geschaffen werden soll.

Die Kommission hat Interessenträger aus allen Organen, Einrichtungen und sonstigen Stellen der Union sowie Vertreter der Mitgliedstaaten im Rat und Interessenträger im Europäischen Parlament konsultiert. Am 25. Juni 2021 nahmen Vertreter der Mitgliedstaaten und einschlägige Akteure aus den Organen, Einrichtungen und sonstigen Stellen der Union an einem von der Kommission organisierten Workshop teil, um den Inhalt des künftigen Verordnungsvorschlags zu erörtern.

·Während die Cybersicherheitsrahmen (Strategie, Politik und grundlegende Vorschriften) der in der Evaluierung berücksichtigten Organe, Einrichtungen und sonstigen Stellen der Union in den Schlüsselbereichen der Cybersicherheit, die in Anhang I der Verordnung aufgeführt sind, im Allgemeinen gut etabliert sind, ist in einigen Organen, Einrichtungen und sonstigen Stellen der Union kein ausgereiftes Betriebskontinuitätsmanagement vorhanden und es wurden Mängel in Bezug auf die Einhaltung der Vorschriften, die Prüfung und die kontinuierliche Verbesserung erkannt.

Das CERT-EU kann Vorschläge für Leitlinien oder Empfehlungen ausarbeiten, über deren Annahme der IICB beschließen kann. Leitlinien dienen als Orientierungshilfe für alle Organe, Einrichtungen und sonstigen Stellen der Union oder für eine Untergruppe von ihnen, während sich Empfehlungen an einzelne Organe, Einrichtungen und sonstige Stellen der Union richten. Bei einem Aufruf zum Tätigwerden handelt es sich um eine Orientierungshilfe des CERT-EU, in dem dringende Sicherheitsmaßnahmen beschrieben werden, zu deren Ergreifung innerhalb einer vorgegebenen Frist die Organe, Einrichtungen und sonstigen Stellen der Union dringend aufgefordert werden.

(15)Das CERT-EU sollte die Umsetzung von Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau durch Vorschläge für Leitfäden und Empfehlungen an den IICB oder durch Aufrufe zum Tätigwerden unterstützen. Diese Leitlinien und Empfehlungen sollten vom IICB genehmigt werden. Wenn erforderlich, sollte das CERT-EU Aufrufe zum Tätigwerden herausgeben, in denen dringende Sicherheitsmaßnahmen beschrieben werden, zu deren Ergreifung innerhalb einer vorgegebenen Frist die Organe, Einrichtungen und sonstigen Stellen der Union dringend aufgefordert werden.

(13)Viele Cyberangriffe sind Teil umfassenderer Operationen, die auf Gruppen von Organen, Einrichtungen und sonstigen Stellen der Union oder Interessengemeinschaften, zu denen auch die Organe, Einrichtungen und sonstigen Stellen der Union gehören, ausgerichtet sind. Um eine proaktive Erkennung von Sicherheitsvorfällen sowie Maßnahmen zu ihrer Bewältigung und Abschwächung zu ermöglichen, sollten die Organe, Einrichtungen und sonstigen Stellen der Union das CERT-EU über erhebliche Cyberbedrohungen, erhebliche Sicherheitslücken und erhebliche Sicherheitsvorfälle informieren und geeignete technische Einzelheiten übermitteln, die die Erkennung bzw. Abschwächung sowie die Bewältigung ähnlicher Cyberbedrohungen, Sicherheitslücken und Sicherheitsvorfälle in anderen Organen, Einrichtungen und sonstigen Stellen der Union ermöglichen. Nach demselben Ansatz wie in der Richtlinie [NIS-2-Vorschlag] sollten Einrichtungen, die von einem erheblichen Sicherheitsvorfall Kenntnis erhalten, verpflichtet sein, innerhalb von 24 Stunden eine erste Meldung an das CERT-EU zu übermitteln. Dieser Informationsaustausch sollte es dem CERT-EU ermöglichen, die Informationen an andere Organe, Einrichtungen und sonstige Stellen der Union sowie an entsprechende Partner weiterzugeben, um dazu beizutragen, die IT-Umgebungen der Union und die IT-Umgebungen der Partner der Union vor ähnlichen Sicherheitsvorfällen, Bedrohungen und Sicherheitslücken zu schützen.

(12)Das CERT-EU sollte von „Reaktionsteam für IT-Sicherheitsvorfälle (Computer Emergency Response Team – CERT) in „Cybersicherheitszentrum“ für die Organe, Einrichtungen und sonstigen Stellen der Union umbenannt werden, was im Einklang mit den Entwicklungen in den Mitgliedstaaten und weltweit steht, wo viele CERTs in Cybersicherheitszentren umbenannt werden; die Kurzbezeichnung „CERT-EU“ sollte jedoch aufgrund ihres Wiedererkennungswerts beibehalten werden.

(9)Ein hohes gemeinsames Cybersicherheitsniveau setzt voraus, dass die Cybersicherheit der Aufsicht der höchsten Managementebene des jeweiligen Organs, der jeweiligen Einrichtung oder sonstigen Stelle der Union unterstellt wird, die Cybersicherheitsgrundregeln billigen sollte, um die Risiken anzugehen, die in dem jeweiligen von dem betreffenden Organ bzw. der betreffenden Einrichtung oder sonstigen Stelle festzulegenden Rahmen ermittelt werden. Die Pflege der Cybersicherheitskultur, d. h. die Cybersicherheit in der täglichen Praxis, ist Bestandteil der Cybersicherheitsgrundregeln in allen Organen, Einrichtungen und sonstigen Stellen der Union.

(8)Damit keine unverhältnismäßige finanzielle und administrative Belastung für die Organe, Einrichtungen und sonstigen Stellen der Union entsteht, sollten die Anforderungen an das Cybersicherheitsrisikomanagement in einem angemessenen Verhältnis zu den Risiken stehen, denen das betreffende Netz- und Informationssystem ausgesetzt ist; dabei ist dem neuesten Stand solcher Maßnahmen Rechnung zu tragen. Jedes Organ, jede Einrichtung und jede sonstige Stelle der Union sollte bestrebt sein, einen angemessenen Prozentsatz seines bzw. ihres IT-Haushalts für die Verbesserung seines bzw. ihres Cybersicherheitsniveaus zuzuweisen; längerfristig sollte ein Ziel in der Größenordnung von 10 % angestrebt werden.

(3)Die IT-Umgebungen der Organe, Einrichtungen und sonstigen Stellen der Union sind von gegenseitigen Abhängigkeiten und integrierten Datenströmen gekennzeichnet und ihre Nutzer arbeiten eng zusammen. Wegen dieser Verflechtungen kann jede Störung, auch wenn sie anfänglich auf nur ein Organ, eine Einrichtung oder eine sonstige Stelle der Union beschränkt ist, zu breiteren Kaskadeneffekten führen, die weitreichende und lang anhaltende negative Auswirkungen auf die anderen Organe, Einrichtungen oder sonstigen Stellen haben können. Darüber hinaus sind die IT-Umgebungen bestimmter Organe, Einrichtungen und sonstiger Stellen mit den IT-Umgebungen der Mitgliedstaaten verbunden, was dazu führt, dass ein Sicherheitsvorfall in einer Einrichtung der Union ein Risiko für die Cybersicherheit der IT-Umgebungen der Mitgliedstaaten darstellt, und umgekehrt.

(23)Der Umgang des CERT-EU und der Organe, Einrichtungen und sonstigen Stellen der Union mit Informationen sollte gemäß der Verordnung [vorgeschlagene Verordnung über die Informationssicherheit] erfolgen. Zur Gewährleistung der Koordinierung in Sicherheitsangelegenheiten sollten alle Fälle, in denen sich nationale Sicherheits- und Nachrichtendienste aus eigener Initiative oder auf eigenes Bestreben an das CERT-EU werden, der Direktion Sicherheit der Kommission und dem Vorsitz des IICB unverzüglich mitgeteilt werden.

(19)Das CERT-EU sollte zudem die Rolle übernehmen, die ihm nach der Richtlinie [NIS-2-Vorschlag] bei der Zusammenarbeit und beim Informationsaustausch mit dem Netzwerk der Computer-Notfallteams (CSIRTs-Netzwerk) zukommt. Darüber hinaus sollte das CERT-EU im Einklang mit der Empfehlung (EU) 2017/1584 der Kommission mit den einschlägigen Interessenträgern zusammenarbeiten und sich bezüglich der Reaktionsmaßnahmen mit diesen abstimmen. Um zu einem hohen Cybersicherheitsniveau in der gesamten Union beizutragen, sollte das CERT-EU Informationen zu den einzelnen Sicherheitsvorfällen an die nationalen Partner weiterleiten. Das CERT-EU sollte vorbehaltlich der vorherigen Genehmigung durch den IICB auch mit anderen öffentlichen und privaten Partnern, einschließlich der NATO, zusammenarbeiten.

(1)Alle Organe, Einrichtungen und sonstigen Stellen der Union legen in Unterstützung ihres jeweiligen Auftrags und in Ausübung ihrer institutionellen Autonomie ihren eigenen internen Rahmen für das Management, die Governance und die Kontrolle von Cybersicherheitsrisiken (im Folgenden „Rahmen“) fest. Diese Arbeit erfolgt unter der Aufsicht der jeweiligen höchsten Managementebene, um ein wirksames und umsichtiges Management aller Cybersicherheitsrisiken zu gewährleisten. Der Rahmen ist bis spätestens ... [15 Monate nach dem Inkrafttreten dieser Verordnung] einzuführen.

(1)Auf der Grundlage der Schlussfolgerungen der Bewertung des Reifegrads und unter Berücksichtigung der gemäß Artikel 4 ermittelten Anlagen und Risiken genehmigt die höchste Managementebene jedes Organs, jeder Einrichtung und jeder sonstigen Stelle der Union unverzüglich nach der Festlegung des Rahmens für Risikomanagement, Governance und Kontrolle und der Cybersicherheitsgrundregeln einen Cybersicherheitsplan. Der Plan zielt darauf ab, die Cybersicherheit des betreffenden Organs bzw. der betreffenden Einrichtung oder Stelle insgesamt zu erhöhen und trägt somit zur Erreichung oder Verbesserung eines hohen gemeinsamen Cybersicherheitsniveaus aller Organe, Einrichtungen und sonstigen Stellen der Union bei. Um den Auftrag des Organs bzw. der Einrichtung oder Stelle auf der Basis ihrer institutionellen Autonomie zu unterstützen, deckt der Plan mindestens die in Anhang I genannten Bereiche und die in Anhang II genannten Maßnahmen ab und sieht Maßnahmen zur Abwehrbereitschaft, Reaktion und Folgenbewältigung wie Sicherheitsüberwachung und ‑protokollierung vor. Der Plan wird mindestens alle drei Jahre im Anschluss an die gemäß Artikel 6 durchgeführten Bewertungen des Reifegrads überarbeitet.

(1)Die jeweilige höchste Managementebene der Organe, Einrichtungen und sonstigen Stellen der Union genehmigt die jeweiligen eigenen Cybersicherheitsgrundregeln, um die Risiken anzugehen, die in dem in Artikel 4 Absatz 1 genannten Rahmen ermittelt werden. Sie tut dies in Unterstützung ihres jeweiligen Auftrags und in Ausübung ihrer institutionellen Autonomie. Die Cybersicherheitsgrundregeln müssen bis spätestens …. [18 Monate nach Inkrafttreten dieser Verordnung] vorliegen und sich auf die in Anhang I aufgeführten Bereiche und die in Anhang II aufgeführten Maßnahmen erstrecken.

(3)Die höchste Managementebene jedes Organs, jeder Einrichtung und jeder sonstigen Stelle der Union überwacht die Einhaltung der mit dem Risikomanagement, der Governance und der Kontrolle im Bereich der Cybersicherheit verbundenen Verpflichtungen durch ihre Organisation unbeschadet der formalen Zuständigkeit anderer Managementebenen in Bezug auf die Einhaltung der Vorschriften und das Risikomanagement in deren jeweiligen Zuständigkeitsbereichen.

(2)Der Rahmen deckt jeweils die gesamte IT-Umgebung der betreffenden Organe, Einrichtungen oder sonstigen Stellen ab, insbesondere die IT-Umgebung in den Räumlichkeiten der betreffenden Organe, Einrichtungen oder sonstigen Stellen, in Cloud-Computing-Umgebungen ausgelagerte oder von Dritten gehostete Anlagen und Dienste, mobile Geräte, Firmennetze, nicht mit dem Internet verbundene Geschäftsnetze und alle mit der IT-Umgebung verbundenen Geräte. Der Rahmen berücksichtigt die Sicherung der Betriebskontinuität und das Krisenmanagement und deckt die Sicherheit der Lieferkette und den Umgang mit menschlichen Risiken ab, die Auswirkungen auf die Cybersicherheit des betreffenden Organs oder der betreffenden Einrichtung der Union haben könnten.

(7)Jedes Mitglied des IICB hat eine Stimme. Die Beschlüsse des IICB werden mit einfacher Mehrheit gefasst, soweit in dieser Verordnung nichts anderes bestimmt ist. Der Vorsitz beteiligt sich nicht an den Abstimmungen, außer bei Stimmengleichheit, bei der seine Stimme den Ausschlag gibt.

(6)Das CERT-EU kann Cybersicherheitsübungen organisieren oder die Teilnahme an bestehenden Übungen empfehlen, gegebenenfalls in enger Zusammenarbeit mit der Agentur der Europäischen Union für Cybersicherheit, um das Cybersicherheitsniveau der Organe, Einrichtungen und sonstigen Stellen der Union zu prüfen.

(4)Das CERT-EU kooperiert in strukturierter Weise mit der Agentur der Europäischen Union für Cybersicherheit in den Bereichen Kapazitätsaufbau, operative Zusammenarbeit und langfristige strategische Analysen von Cyberbedrohungen im Einklang mit der Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates.

a)Abwehrbereitschaft, Koordinierung bei Sicherheitsvorfällen, Informationsaustausch und Krisenreaktion auf der technischen Ebene in Fällen, in denen Organe, Einrichtungen und sonstige Stellen der Union betroffen sind,

(7)Das CERT-EU kann Organe, Einrichtungen und sonstigen Stellen der Union in Bezug auf Sicherheitsvorfälle in nicht frei zugänglichen IT-Umgebungen unterstützen, wenn es von dem betreffenden Konstituenten ausdrücklich dazu aufgefordert wird.

Artikel 13

Leitlinien, Empfehlungen und Aufrufe zum Tätigwerden

(1)Das CERT-EU unterstützt die Durchführung dieser Verordnung, indem er

a)Aufrufe zum Tätigwerden vorlegt, in denen dringende Sicherheitsmaßnahmen beschrieben werden, zu deren Ergreifung innerhalb einer vorgegebenen Frist die Organe, Einrichtungen und sonstigen Stellen der Union aufgefordert werden;

b)dem IICB Vorschläge für Leitlinien unterbreitet, die an alle oder einen Teil der Organe, Einrichtungen und sonstigen Stellen der Union gerichtet sind,

c)dem IICB Vorschläge für Empfehlungen unterbreitet, die an alle oder einen Teil der Organe, Einrichtungen und sonstigen Stellen der Union gerichtet sind.

(2)Die Leitlinien und Empfehlungen können Folgendes umfassen:

a)Modalitäten für das Cybersicherheitsrisikomanagement und die Cybersicherheitsgrundregeln oder diesbezügliche Verbesserungen

b)Modalitäten für die Bewertungen des Reifegrads und die Cybersicherheitspläne; und

c)gegebenenfalls den Einsatz gemeinsamer Technologie, Architektur und dazugehöriger bewährter Verfahren mit dem Ziel, Interoperabilität und gemeinsame Normen im Sinne des Artikels 4 Absatz 10 der Richtlinie [NIS-2-Vorschlag] zu erreichen.

(3)Der IICB kann vom CERT-EU vorgeschlagene Leitlinien und Empfehlungen annehmen.

(4)Der IICB kann das CERT-EU anweisen, einen Vorschlag für Leitlinien oder Empfehlungen oder einen Aufruf zum Tätigwerden vorzulegen, zurückzuziehen oder zu ändern.

Artikel 14

Der Leiter des CERT-EU

Die Leitung des CERT-EU legt dem IICB regelmäßig Berichte über die Leistung des CERT-EU, die Finanzplanung, die Einnahmen, die Ausführung des Haushaltsplans, Leistungsvereinbarungen und schriftliche Vereinbarungen, die Zusammenarbeit mit entsprechenden Stellen und Partnern und Dienstreisen des Personals vor, einschließlich der in Artikel 10 Absatz 1 genannten Berichte.

Artikel 15

Finanzen und Personal

(1)Die Kommission ernennt nach einstimmiger Billigung des IICB die Leitung des CERT-EU. Der IICB wird in allen Phasen des Verfahrens vor der Ernennung der Leitung des CERT-EU konsultiert, insbesondere bei der Ausarbeitung von Stellenausschreibungen, der Prüfung von Bewerbungen und der Ernennung von Auswahlausschüssen im Zusammenhang mit diesem Posten.

(2)Bei der Anwendung der Verwaltungs- und Finanzverfahren handelt die Leitung des CERT-EU unter Aufsicht der Kommission.

(3)Aufgaben und Tätigkeiten des CERT-EU, einschließlich der Dienste, die vom CERT-EU gemäß Artikel 12 Absätze 2, 3, 4 und 6 sowie gemäß Artikel 13 Absatz 1 für aus der Rubrik „Europäische öffentliche Verwaltung“ des mehrjährigen Finanzrahmens finanzierte Organe, Einrichtungen und sonstige Stellen der Union erbracht werden, werden aus einer gesonderten Haushaltslinie des Haushaltsplans der Kommission finanziert. Dem CERT-EU zugewiesene Stellen werden in einer Fußnote des Stellenplans der Kommission angegeben.

(4)Andere als die in Absatz 3 genannten Organe, Einrichtungen und sonstigen Stellen der Union leisten einen jährlichen finanziellen Beitrag zum CERT-EU zur Deckung der vom CERT-EU gemäß Absatz 3 erbrachten Dienste. Die jeweiligen Beiträge beruhen auf Vorgaben des IICB und werden jeweils zwischen den einzelnen Organen, Einrichtungen oder sonstigen Stellen und dem CERT-EU in Leistungsvereinbarungen festgelegt. Die Beiträge entsprechen einem angemessenen und verhältnismäßigen Anteil an den Gesamtkosten der erbrachten Dienste. Sie werden gemäß Artikel 21 Absatz 3 Buchstabe c der Verordnung (EU, Euratom) 2018/1046 des Europäischen Parlaments und des Rates als zweckgebundene Einnahmen in die in Absatz 3 genannte gesonderte Haushaltslinie eingestellt.

(5)Die Kosten für die in Artikel 12 Absatz 5 festgelegten Aufgaben werden bei den Organen, Einrichtungen und sonstigen Stellen der Union eingezogen, denen die CERT-EU-Dienste erbracht werden. Die Einnahmen werden in die Haushaltslinien eingestellt, in denen die Kosten angesetzt wurden.