EUROPÄISCHE KOMMISSION Brüssel, den 16.12.2020 COM(2020) 823 final 2020/0359(COD) Vorschlag für eine RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union und zur Aufhebung der Richtlinie (EU) 2016/1148 (Text von Bedeutung für den EWR) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



BEGRÜNDUNG 1.KONTEXT DES VORSCHLAGS •Gründe und Ziele des Vorschlags Dieser Vorschlag ist Teil eines Pakets von Maßnahmen, mit denen die Resilienz und die Kapazitäten zur Reaktion auf Sicherheitsvorfälle öffentlicher und privater Einrichtungen, zuständiger Behörden und der Union als Ganzer auf dem Gebiet der Cybersicherheit und des Schutzes kritischer Infrastrukturen weiter verbessert werden sollen. Er steht im Einklang mit den Prioritäten der Kommission, Europa für das digitale Zeitalter zu rüsten und eine zukunftsfähige Wirtschaft zu schaffen, die im Dienste des Menschen steht. Cybersicherheit ist eine Priorität in der Reaktion der Kommission auf die COVID-19-Krise. Das Paket umfasst eine neue Cybersicherheitsstrategie, die die strategische Autonomie der Union stärken soll, um ihre Resilienz und kollektive Reaktion zu verbessern und ein offenes und globales Internet zu errichten. Das Paket umfasst ferner einen Vorschlag für eine Richtlinie über die Resilienz von Betreibern wesentlicher Dienste, die physische Bedrohungen von diesen Betreibern abwenden soll. Dieser Vorschlag baut auf der Richtlinie (EU) 2016/1148 über die Sicherheit von Netz- und Informationssystemen (NIS-Richtlinie) auf, die der erste EU-Rechtsakt über Cybersicherheit ist und Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union vorsieht. Gleichzeitig wird die NIS-Richtlinie mit diesem Vorschlag aufgehoben. Die NIS-Richtlinie hat 1) zur Verbesserung der Cybersicherheitskapazitäten auf nationaler Ebene beigetragen, weil sie vorsieht, dass die Mitgliedstaaten nationale Cybersicherheitsstrategien aufstellen und Cybersicherheitsbehörden benennen; 2) für mehr Zusammenarbeit zwischen den Mitgliedstaaten auf Unionsebene gesorgt, weil verschiedene Foren errichtet wurden, die den Austausch von strategischen und operativen Informationen erleichtern; und 3) die Cyberresilienz öffentlicher und privater Einrichtungen in sieben Sektoren (Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und digitale Infrastrukturen) und in drei digitalen Dienstleistungsbereichen (Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste) verbessert, weil die Mitgliedstaaten gemäß der Richtlinie dafür sorgen müssen, dass Betreiber wesentlicher Dienste und Anbieter digitaler Dienste Cybersicherheitsanforderungen einführen und Sicherheitsvorfälle melden. Mit dem Vorschlag wird der bestehende Rechtsrahmen modernisiert unter Berücksichtigung der zunehmenden Digitalisierung des Binnenmarkts in den letzten Jahren und der sich rasch weiterentwickelnden Bedrohungen für die Cybersicherheit. Beide Entwicklungen haben seit Beginn der COVID-19-Krise noch an Intensität gewonnen. Der Vorschlag behebt auch verschiedene Schwächen der NIS-Richtlinie, die die Freisetzung ihres gesamten Potenzials verhindert haben. Mit der NIS-Richtlinie wurden zwar beachtliche Ergebnisse erzielt, und sie hat in vielen Mitgliedstaaten ein erhebliches Umdenken in Bezug auf das institutionelle und regulatorische Cybersicherheitskonzept bewirkt, aber sie stößt auch an Grenzen. Mit dem zunehmenden digitalen Wandel der Gesellschaft, der durch die COVID-19-Krise noch an Tempo gewonnen hat, haben auch die Bedrohungen für die Cybersicherheit zugenommen. Dies bringt neue Herausforderungen mit sich, die entsprechende, innovative Antworten erfordern. Die Zahl der Cyberangriffe steigt weiter, und die Angriffe von verschiedensten Seiten innerhalb und außerhalb der EU werden immer komplexer. Die Bewertung der Wirksamkeit der NIS-Richtlinie, die für die Zwecke der Folgenabschätzung vorgenommen wurde, ergab folgende Schwachstellen: 1) niedriges Cyberresilienzniveau bei Unternehmen, die in der EU tätig sind; 2) unterschiedliche Resilienz von Mitgliedstaat zu Mitgliedstaat und von Sektor zu Sektor; 3) schwach ausgeprägte gemeinsame Lageerfassung und mangelnde gemeinsame Krisenreaktion. Wenn z. B. in einem Mitgliedstaat bestimmte große Krankenhäuser nicht unter die NIS-Richtlinie fallen, müssen sie die entsprechenden Sicherheitsmaßnahmen nicht ergreifen, während die NIS-Sicherheitsanforderungen in einem anderen Mitgliedstaat praktisch für alle Gesundheitsdienstleister gelten. Da es sich um eine Initiative im Rahmen des Programms zur Gewährleistung der Effizienz und Leistungsfähigkeit der Rechtsetzung (REFIT) handelt, sollen mit dem Vorschlag der Regelungsaufwand für die zuständigen Behörden verringert und die Befolgungskosten für öffentliche und private Einrichtungen gesenkt werden. Erreicht wird dies vor allem durch die Streichung der Verpflichtung der zuständigen Behörden, die Betreiber wesentlicher Dienste zu ermitteln, und durch eine stärkere Harmonisierung der Sicherheits- und Berichterstattungsanforderungen, um Einrichtungen, die grenzüberschreitende Dienste erbringen, die Einhaltung der Vorschriften zu erleichtern. Gleichzeitig wird den zuständigen Behörden eine Reihe neuer Aufgaben übertragen, darunter die Überwachung von Einrichtungen in Sektoren, die bisher nicht unter die NIS-Richtlinie fallen. •Kohärenz mit den bestehenden Vorschriften in diesem Bereich Dieser Vorschlag ist Teil eines umfassenderen Pakets bestehender Rechtsinstrumente und geplanter Initiativen auf Unionsebene, mit denen die Widerstandsfähigkeit öffentlicher und privater Einrichtungen gegenüber Bedrohungen erhöht werden soll. Im Bereich Cybersicherheit sind dies hauptsächlich die Richtlinie (EU) 2018/1972 über den europäischen Kodex für die elektronische Kommunikation (deren cybersicherheitsbezogene Bestimmungen durch die Bestimmungen des vorliegenden Vorschlags ersetzt werden) und der Vorschlag für eine Verordnung über die Betriebsstabilität digitaler Systeme des Finanzsektors (COM(2020) 595 final), die als lex specialis zum vorliegenden Vorschlag angesehen wird, sobald beide Rechtsakte in Kraft getreten sind. Im Bereich physische Sicherheit ergänzt der vorliegende Vorschlag den Vorschlag für eine Richtlinie über die Resilienz kritischer Einrichtungen, mit der die Richtlinie 2008/114/EG über die Ermittlung und Ausweisung europäischer kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern (EKI-Richtlinie) überarbeitet wird und die ein Unionsverfahren zur Ermittlung und Ausweisung europäischer kritischer Infrastrukturen und ein Konzept zur Verbesserung ihres Schutzes vorsieht. Im Juli 2020 verabschiedete die Kommission die EU-Strategie für die Sicherheitsunion, in der die zunehmenden Verflechtungen und gegenseitigen Abhängigkeiten zwischen physischen und digitalen Infrastrukturen anerkannt wurden. In der Strategie wurde hervorgehoben, dass ein kohärenterer Ansatz zwischen der EKI-Richtlinie und der Richtlinie (EU) 2016/1148 in Bezug auf Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union notwendig ist. Der Vorschlag ist daher eng abgestimmt mit dem Vorschlag für eine Richtlinie über die Resilienz kritischer Einrichtungen, mit der die Resilienz kritischer Einrichtungen gegen physische Bedrohungen in einer Vielzahl von Sektoren verbessert werden soll. Der Vorschlag soll sicherstellen, dass die zuständigen Behörden auf der Grundlage beider Rechtsakte sich ergänzende Maßnahmen treffen und Informationen austauschen zur cyberbezogenen gegebenenfalls und zur nicht cyberbezogenen Resilienz und dass für besonders kritische Betreiber in den Sektoren, die nach dem vorliegenden Vorschlag als „wesentlich“ eingestuft werden, auch allgemeinere resilienzfördernde Verpflichtungen mit einem Schwerpunkt auf nicht cyberbezogenen Risiken gelten. •Kohärenz mit der Politik der Union in anderen Bereichen Wie in der Mitteilung der Kommission zur Gestaltung der digitalen Zukunft Europas dargelegt, ist es für Europa von entscheidender Bedeutung, dass das Potenzial des digitalen Zeitalters vollständig ausgeschöpft und die europäische Industrie und Innovationskapazität gestärkt werden, ohne bei Sicherheit und Ethik Abstriche zu machen. Die europäische Datenstrategie setzt auf vier Säulen – Datenschutz, Grundrechte, Sicherheit und Cybersicherheit – als wesentliche Voraussetzungen dafür, dass die Gesellschaft Vorteile aus der Nutzung von Daten ziehen kann. In einer Entschließung vom 12. März 2019 forderte das Europäische Parlament „[…] die Kommission auf zu prüfen, ob der Anwendungsbereich der Richtlinie über Netz- und Informationssysteme auf andere kritische Bereiche und Dienstleistungen ausgeweitet werden muss, die nicht von branchenspezifischen Rechtsvorschriften erfasst sind“. Der Rat begrüßte in seinen Schlussfolgerungen vom 9. Juni 2020 „[…] die Pläne der Kommission, für kohärente Vorschriften für die Marktteilnehmer zu sorgen und einen sicheren, soliden und angemessenen Informationsaustausch über Bedrohungen sowie Zwischenfälle zu erleichtern – auch durch eine Überprüfung der Richtlinie über die Sicherheit von Netz-und Informationssystemen (NIS-Richtlinie) –, um Optionen nachzugehen, mit denen unter Wahrung der Zuständigkeiten der Mitgliedstaaten, einschließlich der Verantwortung für ihre nationale Sicherheit, die Widerstandsfähigkeit gegen Cyberangriffe – insbesondere auf wesentliche wirtschaftliche und gesellschaftliche Tätigkeiten – verbessert wird und wirksamere Reaktionen auf sie ermöglicht werden.“ Der vorgeschlagene Rechtsakt berührt nicht die Anwendung der im Vertrag über die Arbeitsweise der Europäischen Union (AEUV) festgelegten Wettbewerbsregeln.

Da nicht wenige Cybersicherheitsbedrohungen ihren Ursprung außerhalb der EU haben, bedarf es eines kohärenten Konzepts für die internationale Zusammenarbeit. Diese Richtlinie wird als Referenzmodell dienen, für das im Rahmen der Zusammenarbeit der EU mit Drittländern und insbesondere bei der Bereitstellung externer technischer Hilfe geworben werden soll. 2.RECHTSGRUNDLAGE, SUBSIDIARITÄT UND VERHÄLTNISMÄẞIGKEIT •Rechtsgrundlage Die Rechtsgrundlage der NIS-Richtlinie ist Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), der vorsieht, dass das Europäische Parlament und der Rat Maßnahmen zur Angleichung der Rechts- und Verwaltungsvorschriften der Mitgliedstaaten erlassen, die die Errichtung und das Funktionieren des Binnenmarkts zum Gegenstand haben. Der Gerichtshof der EU stellte in seinem Urteil in der Rechtssache C-58/08, Vodafone u. a., fest, dass die Wahl von Artikel 114 AEUV als Rechtsgrundlage gerechtfertigt ist, wenn Unterschiede zwischen den nationalen Vorschriften vorliegen, die sich unmittelbar auf das Funktionieren des Binnenmarkts auswirken. Ferner befand der Gerichtshof, dass, wenn ein auf Artikel 114 AEUV gestützter Rechtsakt bereits jedes Handelshemmnis auf dem von ihm harmonisierten Gebiet beseitigt hat, der Unionsgesetzgeber im Hinblick auf seine Aufgabe, über den Schutz der im Vertrag anerkannten allgemeinen Interessen zu wachen, nicht daran gehindert sein kann, diesen Rechtsakt den Umständen oder neuen Erkenntnissen anzupassen. Außerdem entschied der Gerichtshof, dass der Ausdruck „Maßnahmen zur Angleichung“ in Artikel 114 AEUV nach Maßgabe des allgemeinen Kontextes und der speziellen Umstände der zu harmonisierenden Materie einen Ermessensspielraum hinsichtlich der zur Erreichung eines angestrebten Ergebnisses am besten geeigneten Angleichungstechnik einräumen soll. Der vorgeschlagene Rechtsakt würde Hindernisse für den Binnenmarkt beseitigen und seine Errichtung und sein Funktionieren verbessern durch klare und allgemeingültige Bestimmungen über den Anwendungsbereich der NIS-Richtlinie, mit denen die geltenden Regeln im Bereich Cybersicherheitsrisikomanagement und Meldung von Sicherheitsvorfällen harmonisiert werden. Die derzeitigen Unterschiede in diesem Bereich auf legislativer und aufsichtsrechtlicher Ebene sowie auf nationaler und EU-Ebene sind Hindernisse für den Binnenmarkt, da für grenzüberschreitend tätige Einrichtungen unterschiedliche und sich möglicherweise überschneidende rechtliche Anforderungen gelten und/oder angewendet werden, was sie in ihrer Ausübung der Niederlassungs- und Dienstleistungsfreiheit behindern könnte. Unterschiedliche Regeln wirken sich auch negativ auf die Wettbewerbsbedingungen im Binnenmarkt aus, wenn sie Einrichtungen derselben Art in verschiedenen Mitgliedstaaten betreffen. •Subsidiarität (bei nicht ausschließlicher Zuständigkeit) Die unionsweite Cybersicherheitsresilienz kann nicht wirksam sein, wenn sie in nationalen oder regionalen Silos uneinheitlich angegangen wird. Die NIS-Richtlinie hat diesen Mangel durch die Errichtung eines Rahmens für die Sicherheit der Netz- und Informationssysteme auf der Ebene der Mitgliedstaaten und auf Unionsebene zum Teil behoben. Aber ihre Übernahme in die nationalen Rechtsordnungen und ihre Umsetzung haben inhärente Mängel und Grenzen einiger Bestimmungen und Ansätze ans Licht gebracht, wie z. B. die unklare Abgrenzung des Anwendungsbereichs der Richtlinie, die in der Praxis zu erheblichen Unterschieden in Umfang und Tiefe des Tätigwerdens der EU auf der Ebene der Mitgliedstaaten führt. Hinzu kommt, dass die europäische Wirtschaft seit Beginn der COVID-19-Krise noch stärker von Netz- und Informationssystemen abhängig ist als je zuvor und Sektoren und Dienste immer enger miteinander verflochten sind. Ein Tätigwerden der EU über die geltenden Maßnahmen der NIS-Richtlinie hinaus ist hauptsächlich aus folgenden Gründen gerechtfertigt: i) Die NIS-bezogenen Bedrohungen und Herausforderungen sind zunehmend grenzüberschreitender Art, ii) die Union kann dazu beitragen, die Wirksamkeit und Koordinierung nationaler Politiken zu verbessern und zu fördern, und iii) konzertierte und kooperative politische Maßnahmen können zu einem wirksamen Schutz von personenbezogenen Daten und Privatsphäre beitragen. •Verhältnismäßigkeit Die in dieser Richtlinie vorgeschlagenen Regeln gehen nicht über das für die zufriedenstellende Verwirklichung der spezifischen Ziele erforderliche Maß hinaus. Die vorgesehene Angleichung und Vereinheitlichung von Sicherheitsmaßnahmen und Meldepflichten entsprechen den Forderungen von Mitgliedstaaten und Unternehmen nach einer Verbesserung des geltenden Rahmens. In dem Vorschlag wird der bereits bestehenden Praxis in den Mitgliedstaaten Rechnung getragen. Ein höheres Schutzniveau, dass durch diese vereinheitlichten und abgestimmten Anforderungen erreicht wird, steht im Verhältnis zu den immer höheren Risiken, einschließlich jener mit einem grenzüberschreitenden Element; sie sind vertretbar und entsprechen allgemein den Interessen der betroffenen Einrichtungen, da sie die Kontinuität und die Qualität von deren Dienstleistungen gewährleisten. Die Kosten für die Gewährleistung einer systematischen Zusammenarbeit zwischen den Mitgliedstaaten sind gering im Vergleich zu den Verlusten und Schäden, die Wirtschaft und Gesellschaft durch Cybersicherheitsvorfälle entstehen, Außerdem haben die Konsultationen der Interessenträger, die im Zuge der Überprüfung der NIS-Richtlinie durchgeführt wurden, einschließlich der Konsultation der Öffentlichkeit und der gezielten Erhebungen, ergeben, dass eine Überarbeitung der NIS-Richtlinie in diesem Sinne befürwortet wird. •Wahl des Instruments Mit dem Vorschlag werden die Pflichten von Unternehmen weiter angepasst und stärker harmonisiert. Zugleich soll der Vorschlag den Mitgliedstaaten die erforderliche Flexibilität einräumen, besondere nationale Gegebenheiten zu berücksichtigen, indem er z. B. die Möglichkeit vorsieht, über den im Rechtsakt festgelegten Ausgangswert hinaus zusätzliche wesentliche oder wichtige Einrichtungen zu ermitteln. Bei dem geplanten Rechtsakt sollte es sich daher um eine Richtlinie handeln, weil dieses Rechtsinstrument sowohl eine gezielte Harmonisierung als auch ein bestimmtes Maß an Flexibilität für die zuständigen Behörden ermöglicht. 3.ERGEBNISSE DER EX-POST-BEWERTUNG, DER KONSULTATION DER INTERESSENTRÄGER UND DER FOLGENABSCHÄTZUNG •Ex-post-Bewertung/Eignungsprüfungen bestehender Rechtsvorschriften Die Kommission hat eine Bewertung der Funktionsweise der Richtlinie vorgenommen. Sie hat ihre Relevanz, ihren EU-Mehrwert sowie ihre Kohärenz und ihre Wirksamkeit analysiert. Diese Analyse hat im Wesentlichen Folgendes ergeben: ·Der Anwendungsbereich der NIS-Richtlinie ist zu begrenzt, was die Zahl der erfassten Sektoren angeht, vor allem wegen i) der zunehmenden Digitalisierung in den letzten Jahren und eines höheren Vernetzungsgrads sowie ii) der Tatsache, dass der Anwendungsbereich der NIS-Richtlinie nicht mehr alle digitalisierten Sektoren erfasst, die grundlegende Dienstleistungen für die Wirtschaft und Gesellschaft als Ganze anbieten. ·Die NIS-Richtlinie bietet keine hinreichende Klarheit, was den Anwendungsbereich für Betreiber wesentlicher Dienste angeht, und ihre Bestimmungen sind nicht klar genug hinsichtlich der nationalen Zuständigkeit für Anbieter digitaler Dienste. Infolgedessen wurden bestimmte Arten von Einrichtungen nicht in allen Mitgliedstaaten ermittelt und müssen daher weder Sicherheitsvorkehrungen treffen noch Sicherheitsvorfälle melden. ·Die NIS-Richtlinie hat den Mitgliedstaaten großen Ermessensspielraum bei der Festlegung von Sicherheitsanforderungen und Meldepflichten für Betreiber wesentlicher Dienste eingeräumt. Die Bewertung hat ergeben, dass die Mitgliedstaaten diese Anforderungen in einigen Fällen auf sehr unterschiedliche Weise umgesetzt haben, was für Unternehmen, die in mehr als einem Mitgliedstaat tätig sind, mit zusätzlichem Aufwand verbunden ist. ·Die Aufsichts- und Durchsetzungsregeln der NIS-Richtlinie sind nicht wirksam. Die Mitgliedstaaten zögern beispielsweise sehr, Sanktionen gegen Einrichtungen zu verhängen, die keine Sicherheitsanforderungen festlegen oder Sicherheitsvorfälle nicht melden. Dies kann nachteilige Auswirkungen auf die Cyberresilienz einzelner Einrichtungen haben.

·Bei den finanziellen und personellen Ressourcen, die die Mitgliedstaaten für die Erfüllung ihrer Aufgaben (wie die Ermittlung von Betreibern wesentlicher Dienste oder auch die Aufsicht) vorsehen, gibt es große Unterschiede, und folglich variiert auch die Erfahrung im Umgang mit Cybersicherheitsrisiken stark. Dies vertieft die Unterschiede in der Cyberresilienz zwischen den Mitgliedstaaten weiter. ·Die Mitgliedstaaten tauschen nicht systematisch Informationen aus, was sich vor allem nachteilig auf die Wirksamkeit der Cybersicherheitsmaßnahmen und die gemeinsame Lageerfassung auf EU-Ebene auswirkt. Dies gilt auch für die Weitergabe von Informationen zwischen privaten Einrichtungen und für die Zusammenarbeit zwischen den Kooperationsstrukturen auf EU-Ebene und privaten Einrichtungen. •Konsultation der Interessenträger Die Kommission hat eine Vielzahl verschiedener Interessenträger konsultiert. Mitgliedstaaten und Interessenträger wurden aufgefordert an der Konsultation der Öffentlichkeit teilzunehmen sowie an den Erhebungen und Workshops, die von Wavestone, CEPS und ICF organisiert wurden, bei denen die Kommission eine Studie zur Unterstützung der Überprüfung der NIS-Richtlinie in Auftrag gegeben hat. Zu den konsultierten Interessenträgern zählten die zuständigen nationalen Behörden, die mit Cybersicherheit befassten Unionsgremien, Betreiber wesentlicher Dienste, Anbieter digitaler Dienste, Einrichtungen, die nicht unter die jetzige NIS-Richtlinie fallende Dienste anbieten, Handelsverbände und Verbraucherorganisationen sowie die Bürgerinnen und Bürger. Außerdem steht die Kommission fortwährend in Kontakt mit den Behörden, die für die Umsetzung der NIS-Richtlinie zuständig sind. Die Kooperationsgruppe hat sich ausführlich mit verschiedenen Aspekten der Umsetzung auf sektorübergreifender und sektoraler Ebene befasst. Und während ihrer NIS-Länderbesuche 2019 und 2020 hat die Kommission 154 öffentliche und private Einrichtungen sowie 117 zuständige Behörden befragt. •Einholung und Nutzung von Expertenwissen Die Kommission hat ein Konsortium mit Wavestone, CEPS und ICF unter Vertrag genommen, die sie bei der Überprüfung der NIS-Richtlinie unterstützen sollen. Das Konsortium hat sich nicht nur an die von der NIS-Richtlinie unmittelbar betroffenen Interessenträger im Wege von gezielten Erhebungen und Workshops gewandt, sondern auch verschiedenste Sachverständige für Cybersicherheit wie Forscher und Fachleute der Cybersicherheitsbranche konsultiert. •Folgenabschätzung Diesem Vorschlag ist eine Folgenabschätzung beigefügt, die dem Ausschuss für Regulierungskontrolle am 23. Oktober 2020 vorgelegt wurde. Der Ausschuss für Regulierungskontrolle gab am 20. November 2020 eine positive Stellungnahme mit Anmerkungen ab. Der Ausschuss empfahl Verbesserungen in einigen Bereichen, damit 1) der Bedeutung von grenzüberschreitenden Spillover-Effekten bei der Problemanalyse besser Rechnung getragen wird, 2) besser erläutert wird, wie Erfolg für die Initiative aussehen würde, 3) die Liste politischer Optionen ausführlicher begründet wird und 4) die Kosten der vorgeschlagenen Maßnahmen genauer dargelegt werden. Die Folgenabschätzung wurde angepasst, um diesen Punkten und detaillierteren Anmerkungen des Ausschusses Folge zu leisten. Sie beinhaltet nun ausführlichere Erläuterungen zur Bedeutung von grenzüberschreitenden Spillover-Effekten auf dem Gebiet der Cybersicherheit, einen klareren Überblick darüber, woran sich der Erfolg messen lässt, ausführlichere Erläuterungen zum Konzept und zur Logik hinter den verschiedenen politischen Optionen und zu den Maßnahmen, die im Rahmen dieser Optionen in Betracht gezogen werden, eine eingehendere Erläuterung der im Zusammenhang mit dem sektoralen Anwendungsbereich der NIS-Richtlinie analysierten Aspekte und weitere Präzisierungen zu den Kosten. Die Kommission prüfte verschiedene Optionen für die Verbesserung des Rechtsrahmens im Bereich der Cyberresilienz und Reaktion auf Sicherheitsvorfälle: ·„Nicht tätig werden“: Die NIS-Richtlinie würde unverändert bleiben, und es würden auch keine nicht legislativen Maßnahmen ergriffen, um die im Rahmen der Bewertung der NIS-Richtlinie festgestellten Probleme auszuräumen. ·Option 1: Die Rechtsvorschriften würden nicht geändert. Stattdessen würde die Kommission – in Absprache mit der Kooperationsgruppe, der EU-Agentur für Cybersicherheit (ENISA) und ggf. dem Netz der Soforteinsatzteams für IT-Sicherheitsvorfälle (CSIRTs) – Empfehlungen und Leitlinien (z. B. für die Ermittlung von Betreibern wesentlicher Dienste, Sicherheitsanforderungen, Verfahren zur Meldung und Überwachung von Sicherheitsvorfällen) herausgeben. ·Option 2: Diese Option sieht gezielte Änderungen der NIS-Richtlinie vor, darunter eine Ausweitung des Anwendungsbereichs und verschiedene weitere Änderungen, die bestimmte Sofortlösungen für ermittelte Probleme gewährleisten sollen und so mehr Klarheit und eine weitere Harmonisierung bringen würden (z. B. Bestimmungen zur Harmonisierung der Schwellenwerte bei der Ermittlung). Die Struktur, der Ansatz und die Rationale der NIS-Richtlinie blieben jedoch erhalten. ·Option 3: Dieses Szenario sieht systemische und strukturelle Änderungen der NIS-Richtlinie vor (im Wege einer neuen Richtlinie) mit einem grundlegenden Richtungswechsel hin zur Abdeckung eines größeren Segments der Volkswirtschaften in der gesamten Union, aber zugleich mit einer gezielteren Beaufsichtigung großer und wesentlicher Akteure. Ferner sind eine Straffung und umfassendere Harmonisierung der Verpflichtungen von Unternehmen sowie die Schaffung eines effektiveren Umfelds für operative Aspekte und einer klaren Grundlage für eine größere gemeinsame Verantwortung und Rechenschaftspflicht verschiedener Interessenträger bei Cybersicherheitsmaßnahmen vorgesehen. In der Folgenabschätzung wird der Schluss gezogen, dass Option 3 (systemische und strukturelle Änderungen des NIS-Rahmens) der Vorzug zu geben ist. Im Interesse der Wirksamkeit würde bei der bevorzugten Option der Anwendungsbereich der NIS-Richtlinie eindeutig festgelegt werden und sich auf einen repräsentativeren Teil der Volkswirtschaften und Gesellschaften der EU erstrecken, Anforderungen würden vereinheitlicht und die Aufsichts- und Durchsetzungsvorschriften präzisiert, um die Einhaltung zu verbessern. Außerdem sind Maßnahmen vorgesehen, die die Herangehensweisen an die Politikgestaltung auf der Ebene der Mitgliedstaaten verbessern und zu einem Paradigmenwechsel in diesem Bereich führen sollen, indem neue Rahmen für das Risikomanagement der Beziehungen zwischen den Anbietern und die koordinierte Offenlegung von Schwachstellen gefördert werden. Gleichzeitig wird mit der bevorzugten Option eine klare Grundlage für eine gemeinsame Verantwortung und Rechenschaftspflicht geschaffen, und es sind Mechanismen vorgesehen, die mehr Vertrauen zwischen den Mitgliedstaaten seitens der Behörden und seitens der Industrie fördern, Anreize zum Austausch von Informationen und einen operativeren Ansatz gewährleisten sollen, wie z. B. der Amtshilfe- und der Peer-Review-Mechanismus. Diese Option würde auch einen EU-Krisenmanagementrahmen bieten, der auf dem unlängst errichteten operativen EU-Netz aufbaut, und würde eine stärkere Mitwirkung der ENISA, im Rahmen ihres aktuellen Mandats, an einem aktuellen und genauen Überblick über die Cybersicherheitslage in der Union gewährleisten. Was die Effizienz angeht, so würde die bevorzugte Option zwar zusätzliche Einhaltungs- und Durchsetzungskosten für Unternehmen und Mitgliedstaaten mit sich bringen, aber sie würde auch zu wirksamen Kompromissen und Synergien führen, und laut der Analyse der Optionen verfügt sie über das größte Potenzial, unionsweit ein höheres und einheitliches Cyberresilienzniveau wesentlicher Einrichtungen zu gewährleisten, das schließlich zu Kosteneinsparungen für Unternehmen und für die Gesellschaft führen würde. Diese Option würde eine gewisse zusätzliche Verwaltungslast und höhere Befolgungskosten für die Behörden in den Mitgliedstaaten mit sich bringen. Unterm Strich würde die Option aber mittel- bis langfristig erhebliche Vorteile bringen durch eine verstärkte Zusammenarbeit der Mitgliedstaaten auch auf der operativen Ebene und durch Amtshilfe, Peer-review-Mechanismen sowie einen besseren Überblick über und eine bessere Interaktion mit wesentlichen Unternehmen Anreize für einen Ausbau der Cybersicherheitskapazitäten auf nationaler und regionaler Ebene geben. Die bevorzugte Option würde auch für eine weitgehende Kohärenz mit anderen Rechtsvorschriften, Initiativen und Maßnahmen, darunter auch sektorspezifische Lex specialis, sorgen. Wenn die gegenwärtig unzulängliche Vorsorge im Bereich der Cybersicherheit auf mitgliedstaatlicher Ebene und auf der Ebene von Unternehmen und anderen Organisationen angegangen würde, wären Effizienzgewinne möglich und die durch Cybersicherheitsvorfälle verursachten Zusatzkosten könnten sinken. ·Für wesentliche und wichtige Einrichtungen könnte eine bessere Vorsorge im Bereich der Cybersicherheit dazu beitragen, die potenziellen Einnahmeeinbußen aufgrund von Störungen – auch durch Industriespionage – abzufedern und die hohen Kosten von Ad-hoc-Maßnahmen zur Eindämmung von Bedrohungen zu reduzieren. Dies dürfte die erforderlichen Investitionskosten überwiegen. Wenn gegen die Fragmentierung im Binnenmarkt vorgegangen wird, würde dies auch zu faireren Wettbewerbsbedingungen für Betreiber führen. ·Für die Mitgliedstaaten könnte das Risiko steigender Haushaltsausgaben für Ad-hoc-Maßnahmen zur Eindämmung von Bedrohungen und zusätzlicher Kosten im Zusammenhang mit Cybersicherheitsvorfällen weiter reduziert werden. ·Für Bürgerinnen und Bürger dürften Einkommenseinbußen aufgrund wirtschaftlicher Störungen geringer ausfallen, wenn gegen Cybersicherheitsvorfälle vorgegangen wird.

Das höhere Cybersicherheitsniveau in den Mitgliedstaaten und die Fähigkeit von Unternehmen und Behörden, rasch auf Vorfälle zu reagieren und deren Auswirkungen einzudämmen, wird höchstwahrscheinlich dazu führen, dass das Vertrauen der Bürgerinnen und Bürger in die digitale Wirtschaft insgesamt zunimmt, was sich wiederum positiv auf Wachstum und Investitionen auswirken könnte. Wird das Cybersicherheitsniveau insgesamt erhöht, nimmt wahrscheinlich auch die Sicherheit zu, und wesentliche Dienste von kritischer Bedeutung für die Gesellschaft funktionieren störungsfrei. Die Initiative hat unter Umständen auch andere positive Auswirkungen auf die Gesellschaft wie z. B. weniger Cyberkriminalität und Terrorismus und ein besserer Katastrophenschutz. Wenn die Vorsorge gegen Cyberangriffe für Unternehmen und andere Organisationen erhöht wird, könnten potenzielle finanzielle Verluste infolge von Cyberangriffen vermieden und so notwendige Entlassungen verhindert werden. Eine Erhöhung des Cybersicherheitsniveaus könnte auch dazu führen, dass im Falle eines Angriffs auf einen wesentlichen Dienst Umweltgefahren und oder ‑schäden verhindert werden. Dies könnte insbesondere für den Energie- und den Verkehrssektor sowie die Trinkwasserversorgung von Belang sein. Wenn die Cybersicherheitskapazitäten verstärkt werden, könnte die Initiative dazu führen, dass IKT-Infrastrukturen und ‑Dienste der neuesten Generation, die zudem umweltverträglicher sind, vermehrt genutzt und ineffiziente und weniger sichere alte Infrastrukturen ersetzt werden. Dies wird voraussichtlich ebenfalls dazu beitragen, die Zahl mit hohen Kosten verbundener Cybersicherheitsvorfälle zu senken, sodass mehr Ressourcen für nachhaltige Investitionen zur Verfügung stehen. •Effizienz der Rechtsetzung und Vereinfachung Der Vorschlag sieht vor, dass Kleinst- und Kleineinrichtungen generellen aus dem NIS-Anwendungsbereich ausgeschlossen sind und dass eine Vielzahl neuer Einrichtungen des neuen Anwendungsbereichs (sogenannte wichtige Einrichtungen) einer weniger strengen Ex-post-Überwachung unterzogen wird. Durch diese Maßnahmen soll der Aufwand für Unternehmen und Behörden minimiert und gleichmäßiger verteilt werden. Ferner wird in dem Vorschlag das komplexe System für die Ermittlung von Betreibern wesentlicher Dienste durch eine allgemeine Pflicht ersetzt und ein höheres Harmonisierungsniveau der Sicherheits- und Meldepflichten eingeführt, wodurch sich der Befolgungsaufwand insbesondere für die Einrichtungen verringert, die grenzüberschreitende Dienste erbringen. Der Vorschlag minimiert die Befolgungskosten für KMU, da Einrichtungen nur die Maßnahmen ergreifen müssen, die zur Gewährleistung eines dem jeweiligen Risiko entsprechenden Sicherheitsniveaus für Netz- und Informationssysteme erforderlich sind. •Grundrechte Die EU setzt alles daran, hohe Standards für den Schutz der Grundrechte zu gewährleisten. Alle freiwillig vereinbarten Informationsweitergaben zwischen Einrichtungen, die diese Richtlinie fördert, fänden in vertrauenswürdiger Umgebung unter uneingeschränkter Einhaltung der Datenschutzvorschriften der Union, vor allem der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates statt. 4.AUSWIRKUNGEN AUF DEN HAUSHALT Siehe Finanzbogen 5.WEITERE ANGABEN •Durchführungspläne sowie Monitoring-, Bewertungs- und Berichterstattungsmodalitäten Der Vorschlag umfasst einen allgemeinen Plan für das Monitoring und die Bewertung der Auswirkungen auf die spezifischen Ziele, wonach die Kommission spätestens [54 Monate] nach dem Inkrafttreten eine Überprüfung durchführen und dem Europäischen Parlament und dem Rat über die wichtigsten Ergebnisse Bericht erstatten muss. Die Überprüfung muss gemäß den Leitlinien für eine bessere Rechtsetzung der Kommission durchgeführt werden. •Ausführliche Erläuterung einzelner Bestimmungen des Vorschlags Der Vorschlag ist nach verschiedenen Hauptpolitikfeldern gegliedert, die ineinander greifen und das Cybersicherheitsniveau in der Union verbessern sollen. Gegenstand und Anwendungsbereich (Artikel 1 und 2) Die Richtlinie a) verpflichtet die Mitgliedstaaten, eine nationale Cybersicherheitsstrategie zu verabschieden, zuständige nationale Behörden zu benennen und zentrale Anlaufstellen und Soforteinsatzteams für IT-Sicherheitsvorfälle (CSIRTs) einzurichten, b) sieht vor, dass die Mitgliedstaaten Cybersicherheitsrisikomanagement- und Meldepflichten für die in Anhang I genannten wesentlichen Einrichtungen und für die in Anhang II genannten wichtigen Einrichtungen festlegen, c) sieht vor, dass die Mitgliedstaaten Pflichten für die Weitergabe von Cybersicherheitsinformationen festlegen. Sie gilt für bestimmte öffentliche und private wesentliche Einrichtungen, die in den in Anhang I aufgeführten Sektoren tätig sind (Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung und Weltraum) und bestimmte wichtige Einrichtungen, die in den in Anhang II aufgeführten Sektoren tätig sind (Post- und Kurierdienste, Abfallwirtschaft, Herstellung und Vertrieb von Chemikalien, Erzeugung, Verarbeitung und Vertrieb von Nahrungsmitteln, verarbeitende Industrie und Anbieter digitaler Dienste). Kleinst- und Kleineinrichtungen im Sinne der Empfehlung 2003/361/EG der Kommission vom 6. Mai 2003 fallen nicht in den Anwendungsbereich der Richtlinie, ausgenommen Betreiber von elektronischen Kommunikationsnetzen und Anbieter von öffentlich zugänglichen elektronischen Kommunikationsdiensten, Vertrauensdiensteanbieter, TLD-Namen-Register und öffentliche Verwaltung sowie bestimmte weitere Einrichtungen wie z. B. der einzige Anbieter eines Dienstes in einem Mitgliedstaat. Nationale Cybersicherheitsrahmen (Artikel 5 bis 11)

Die Mitgliedstaaten müssen eine nationale Cybersicherheitsstrategie verabschieden, in der die strategischen Ziele und angemessene Politik- und Regulierungsmaßnahmen festgelegt werden, mit denen ein hohes Cybersicherheitsniveau erreicht und aufrechterhalten werden soll. Die Richtlinie sieht auch einen Rahmen für die koordinierte Offenlegung von Sicherheitslücken vor, und die Mitgliedstaaten müssen CSIRTs einrichten, die als vertrauenswürdige Intermediäre fungieren und die Interaktion zwischen den meldenden Einrichtungen und den Herstellern und Anbietern von IKT-Produkten und IKT-Diensten vereinfachen. Die ENISA muss ein europäisches Register der aufgedeckten Sicherheitslücken einrichten und pflegen. Die Mitgliedstaaten müssen nationale Rahmen für das Cybersicherheitskrisenmanagement schaffen, u. a. indem sie nationale Behörden benennen, die im Falle großer Cybersicherheitsvorfälle und -krisen zuständig sind. Ferner müssen die Mitgliedstaaten mindestens eine nationale Cybersicherheitsbehörde benennen, die für die Aufsichtsaufgaben gemäß dieser Richtlinie zuständig ist, sowie eine zentrale nationale Cybersicherheitsanlaufstelle (Single Point of Contact on Cybersecurity, SPOC), die als Verbindungsstelle fungiert, um die grenzübergreifende Zusammenarbeit mitgliedstaatlicher Behörden sicherzustellen. Ferner müssen die Mitgliedstaaten CSIRTs benennen. Zusammenarbeit (Artikel 12 bis 16) Die Richtlinie sieht die Einsetzung einer Kooperationsgruppe vor, um die strategische Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten zu unterstützen und zu erleichtern und Vertrauen aufzubauen. Ferner sieht sie die Errichtung eines CSIRT-Netzwerks vor, um zur Vertrauensbildung zwischen den Mitgliedstaaten beizutragen und eine rasche und wirksame operative Zusammenarbeit zu fördern. Es wird ein Europäisches Netzwerk der Verbindungsorganisationen für Cyberkrisen (European Cyber Crises Liaison Organisation Network, EU-CyCLONe) eingerichtet, um die koordinierte Bewältigung großer Cybersicherheitsvorfälle und -krisen zu unterstützen und den regelmäßigen Informationsaustausch zwischen Mitgliedstaaten und EU-Organen zu gewährleisten. Die ENISA muss in Zusammenarbeit mit der Kommission einen zweijährlichen Bericht über die Cybersicherheitslage in der Union herausgeben. Die Kommission muss ein System einführen, das regelmäßige Peer-Reviews der Wirksamkeit der Cybersicherheitspolitik der Mitgliedstaaten ermöglicht. Cybersicherheitsrisikomanagement- und Meldepflichten (Artikel 17 bis 23) Gemäß dem Vorschlag müssen die Mitgliedstaaten vorschreiben, dass die Führungsebenen aller Einrichtungen, die in den Anwendungsbereich der Richtlinie fallen, die von ihren jeweiligen Einrichtungen ergriffenen Cybersicherheitsrisikomanagementmaßnahmen genehmigen und spezielle Cybersicherheitsschulungen absolvieren müssen. Die Mitgliedstaaten müssen sicherstellen, dass die in den Anwendungsbereich der Richtlinie fallenden Eirichtungen geeignete und verhältnismäßige technische und organisatorische Maßnahmen ergreifen, um die Risiken für die Cybersicherheit von Netz- und Informationssystemen zu bewältigen. Sie müssen ferner sicherstellen, dass die Einrichtungen den zuständigen nationalen Behörden oder den CSIRTs jeden Cybersicherheitsvorfall, der erhebliche Auswirkungen auf die Bereitstellung des von ihnen erbrachten Dienstes hat, unverzüglich melden. TLD-Register und die Einrichtungen, die Domänennamenregistrierungsdienste für die TLD erbringen, sammeln exakte und vollständige Daten über die Registrierung der Domänennamen und pflegen diese. Darüber hinaus müssen diese Einrichtungen auch dafür sorgen, dass berechtigte Zugangsnachfrager effektiv Zugang zu Daten über die Registrierung von Domänennamen haben. Gerichtsbarkeit und Registrierung (Artikel 24 and 25) Grundsätzlich wird davon ausgegangen, dass wesentliche und wichtige Einrichtungen unter die Gerichtsbarkeit des Mitgliedstaats fallen, in dem sie ihre Dienste anbieten. Für bestimmte Arten von Einrichtungen (DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten und Betreiber von Inhaltszustellnetzen sowie bestimmte Anbieter digitaler Dienste) wird davon ausgegangen, dass sie unter die Gerichtsbarkeit des Mitgliedstaats fallen, in dem sie ihre Hauptniederlassung in der Union haben. So soll sichergestellt werden, dass diese Einrichtungen nicht mit einer Vielzahl unterschiedlicher gesetzlicher Anforderungen konfrontiert werden, wenn sie in besonders ausgeprägtem Maße Dienste über Grenzen hinweg anbieten. Die ENISA muss ein Register solcher Einrichtungen einrichten und pflegen. Informationsweitergabe (Artikel 26 and 27) Die Mitgliedstaaten legen Regeln fest, die es Einrichtungen ermöglichen, im Einklang mit Artikel 101 AEUV innerhalb des Rahmens für freiwillig vereinbarte Weitergaben spezifischer Cybersicherheitsinformationen cybersicherheitsbezogene Informationen weiterzugeben. Außerdem ermöglichen die Mitgliedstaaten es nicht in den Anwendungsbereich dieser Richtlinie fallenden Einrichtungen, freiwillig erhebliche Sicherheitsvorfälle, Cyberbedrohungen und Beinahe-Vorfälle zu melden. Aufsicht und Durchsetzung (Artikel 28 bis 34) Die zuständigen Behörden müssen die in den Anwendungsbereich dieser Richtlinie fallenden Einrichtungen beaufsichtigen, insbesondere um sicherzustellen, dass sie die Sicherheitsanforderungen und die Pflicht zur Meldung von Sicherheitsvorfällen einhalten. Es wird zwischen einer Ex-ante-Beaufsichtigung wesentlicher Einrichtungen und einer Ex-post-Beaufsichtigung wichtiger Einrichtungen unterschieden. Bei letzterer müssen die zuständigen Behörden erst dann tätig werden, wenn ihnen Beweise dafür oder Hinweise darauf vorgelegt werden, dass eine wichtige Einrichtung die Sicherheitsanforderungen oder die Pflicht zur Meldung von Sicherheitsvorfällen nicht einhält. Die Richtlinie sieht ferner vor, dass die Mitgliedstaaten Geldbußen gegen wesentliche und wichtige Einrichtungen verhängen, und legt bestimmte Höchstgeldbußen fest.

Die Mitgliedstaaten müssen im Bedarfsfall zusammenarbeiten und einander unterstützen, wenn Einrichtungen Dienste in mehr als einem Mitgliedstaat anbieten oder wenn sich die Hauptniederlassung einer Einrichtung oder ihr Vertreter in einem Mitgliedstaat befinden, ihre Netz- und Informationssysteme aber in einem oder mehreren anderen Mitgliedstaaten verortet sind. 2020/0359 (COD) Vorschlag für eine RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union und zur Aufhebung der Richtlinie (EU) 2016/1148 (Text von Bedeutung für den EWR) DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 114, auf Vorschlag der Europäischen Kommission, nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente, nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses, nach Stellungnahme des Ausschusses der Regionen, gemäß dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1)Ziel der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates war der unionsweite Aufbau von Cybersicherheitskapazitäten, die Eindämmung von Bedrohungen für Netz- und Informationssysteme, die zur Erbringung wesentlicher Dienste in Schlüsselsektoren verwendet werden, und die Sicherstellung der Kontinuität solcher Dienste bei Cybersicherheitsvorfällen, um so zum reibungslosen Funktionieren der Wirtschaft und Gesellschaft der Union beizutragen. (2)Seit Inkrafttreten der Richtlinie (EU) 2016/1148 sind erhebliche Fortschritte bei der Stärkung der Cyberresilienz der Union erzielt worden. Die Überprüfung jener Richtlinie hat gezeigt, dass sie als Katalysator für das institutionelle und regulatorische Cybersicherheitskonzept in der Union gedient und ein erhebliches Umdenken bewirkt hat. Durch die Festlegung nationaler Cybersicherheitsstrategien, die Schaffung nationaler Kapazitäten und die Umsetzung von Regulierungsmaßnahmen für Infrastrukturen und Akteure, die von den einzelnen Mitgliedstaaten als wesentlich eingestuft wurden, wurde mit jener Richtlinie die Vervollständigung der nationalen Rechtsrahmen sichergestellt. Darüber hinaus hat sie durch die Einrichtung der Kooperationsgruppe und eines Netzwerks nationaler Reaktionsteams für IT-Sicherheitsvorfälle (CSIRT-Netzwerk) zur Zusammenarbeit auf Unionsebene beigetragen. Ungeachtet dieser Erfolge hat die Überprüfung der Richtlinie (EU) 2016/1148 inhärente Mängel ergeben, die ein wirksames Vorgehen gegen aktuelle und neue Herausforderungen im Bereich Cybersicherheit verhindern. (3)Netz- und Informationssysteme sind durch den schnellen digitalen Wandel und die Vernetzung der Gesellschaft zu einem zentralen Bestandteil des Alltags und für den grenzüberschreitenden Austausch geworden. Diese Entwicklung hat zu einer Ausweitung der Bedrohungslage im Bereich der Cybersicherheit geführt und neue Herausforderungen mit sich gebracht, die in allen Mitgliedstaaten entsprechende koordinierte und innovative Reaktionen erfordern. Die Anzahl, Tragweite, Komplexität, Häufigkeit und Auswirkungen von Cybersicherheitsvorfällen nehmen zu und stellen eine erhebliche Bedrohung für den störungsfreien Betrieb von Netz- und Informationssystemen dar. Im Ergebnis können Cybersicherheitsvorfälle die Ausübung wirtschaftlicher Tätigkeiten im Binnenmarkt beeinträchtigen, finanzielle Verluste verursachen, das Vertrauen der Nutzer untergraben und der Wirtschaft und Gesellschaft der Union großen Schaden zufügen. Heute sind daher im Bereich Cybersicherheit Vorsorge und Wirksamkeit wichtiger denn je für das reibungslose Funktionieren des Binnenmarkts. (4)Rechtsgrundlage der Richtlinie (EU) 1148/2016 war Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), der verstärkte Maßnahmen zur Angleichung der einzelstaatlichen Vorschriften vorsieht, die die Errichtung und das Funktionieren des Binnenmarkts zum Gegenstand haben. Die Anforderungen an die Cybersicherheit, die Einrichtungen, die Dienste erbringen oder wirtschaftlich relevante Tätigkeiten ausüben, auferlegt werden, unterscheiden sich von Mitgliedstaat zu Mitgliedstaat erheblich in Bezug auf die Art der Anforderung, ihre Detailliertheit und die Art der Aufsicht. Diese Unterschiede verursachen zusätzliche Kosten und führen zu Schwierigkeiten für Unternehmen, die Waren oder Dienstleistungen grenzüberschreitend anbieten. Anforderungen, die von einem Mitgliedstaat auferlegt werden und sich von denen eines anderen Mitgliedstaats unterscheiden oder sogar im Widerspruch zu ihnen stehen, können diese grenzüberschreitenden Tätigkeiten wesentlich beeinträchtigen. Darüber hinaus dürfte, insbesondere angesichts des intensiven grenzüberschreitenden Austauschs, eine etwaige suboptimale Gestaltung oder Umsetzung von Cybersicherheitsstandards in einem Mitgliedstaat Auswirkungen auf das Cybersicherheitsniveau anderer Mitgliedstaaten haben. Die Überprüfung der Richtlinie (EU) 2016/1148 hat gezeigt, dass die Mitgliedstaaten die Richtlinie sehr unterschiedlich umsetzen, unter anderem in Bezug auf ihren Anwendungsbereich, dessen Abgrenzung weitgehend im Ermessen der Mitgliedstaaten lag. In der Richtlinie (EU) 2016/1148 wurde den Mitgliedstaaten auch ein sehr großer Ermessensspielraum bei der Umsetzung der in der Richtlinie festgelegten Verpflichtungen in Bezug auf die Sicherheit und die Meldung von Sicherheitsvorfällen eingeräumt. Diese Verpflichtungen wurden daher auf nationaler Ebene auf sehr unterschiedliche Weise umgesetzt. Ähnliche Unterschiede gab es bei der Umsetzung der in der Richtlinie enthaltenen Bestimmungen zu Aufsicht und Durchsetzung. (5)All diese Unterschiede führen zu einer Fragmentierung des Binnenmarkts und können sich nachteilig auf dessen Funktionieren auswirken und aufgrund der Anwendung unterschiedlicher Normen insbesondere die grenzüberschreitende Erbringung von Diensten und das Niveau der Cyberresilienz beeinträchtigen. Ziel der vorliegenden Richtlinie ist, diese großen Unterschiede zwischen den Mitgliedstaaten zu beseitigen, indem insbesondere Mindestvorschriften für einen funktionierenden und koordinierten Rechtsrahmen festgelegt werden, Mechanismen für die wirksame Zusammenarbeit zwischen den zuständigen Behörden in den einzelnen Mitgliedstaaten vorgesehen werden, die Liste der Sektoren und Tätigkeiten, die Pflichten im Hinblick auf die Cybersicherheit unterliegen, aktualisiert wird und wirksame Abhilfemaßnahmen und Sanktionen, die für die wirksame Durchsetzung dieser Verpflichtungen von entscheidender Bedeutung sind, eingeführt werden. Daher sollte die Richtlinie (EU) 2016/1148 aufgehoben und durch die vorliegende Richtlinie ersetzt werden. (6)Im Einklang mit dem Unionsrecht bleibt die Möglichkeit der Mitgliedstaaten, die für die Wahrung ihrer wesentlichen Sicherheitsinteressen und den Schutz der öffentlichen Ordnung und der öffentlichen Sicherheit erforderlichen Maßnahmen zu ergreifen und die Ermittlung, Feststellung und Verfolgung von Straftaten zuzulassen, von der vorliegenden Richtlinie unberührt. Nach Artikel 346 AEUV ist kein Mitgliedstaat verpflichtet, Auskünfte zu erteilen, deren Preisgabe seinen wesentlichen Sicherheitsinteressen widerspräche. In diesem Zusammenhang sind nationale und Unionsvorschriften zum Schutz von Verschlusssachen, Geheimhaltungsvereinbarungen und informelle Geheimhaltungsvereinbarungen wie das sogenannte Traffic Light Protocol von Bedeutung.

(7)Mit der Aufhebung der Richtlinie (EU) 2016/1148 sollte der Anwendungsbereich nach Sektoren aus den in den Erwägungsgründen 4 bis 6 dargelegten Gründen auf einen größeren Teil der Wirtschaft ausgeweitet werden. Die Liste der Sektoren, die unter die Richtlinie (EU) 2016/1148 fallen, sollte daher erweitert werden, um eine umfassende Abdeckung der Sektoren und Dienste zu gewährleisten, die im Binnenmarkt für grundlegende gesellschaftliche und wirtschaftliche Tätigkeiten von entscheidender Bedeutung sind. Bei den Vorschriften sollte nicht danach unterschieden werden, ob es sich bei den Einrichtungen um Betreiber wesentlicher Dienste oder um Anbieter digitaler Dienste handelt. Diese Differenzierung hat sich als überholt erwiesen, da sie nicht die tatsächliche Bedeutung der Sektoren oder Dienste für die gesellschaftlichen und wirtschaftlichen Tätigkeiten im Binnenmarkt widerspiegelt. (8)Gemäß der Richtlinie (EU) 2016/1148 waren die Mitgliedstaaten dafür zuständig zu bestimmen, welche Einrichtungen die Kriterien für die Einstufung als Betreiber wesentlicher Dienste erfüllen („Ermittlungsprozess“). Um die diesbezüglichen großen Unterschiede zwischen den Mitgliedstaaten zu beheben und für alle relevanten Einrichtungen Rechtssicherheit hinsichtlich der Risikomanagementanforderungen und der Meldepflichten zu gewährleisten, sollte ein einheitliches Kriterium dafür festgelegt werden, welche Einrichtungen in den Anwendungsbereich der vorliegenden Richtlinie fallen. Dieses Kriterium sollte in der Anwendung des Schwellenwerts für die Größe bestehen, nach der alle mittleren und großen Unternehmen im Sinne der Empfehlung 2003/361/EG der Kommission, die in den Sektoren tätig sind oder die Art von Diensten erbringen, die unter die vorliegende Richtlinie fallen, in den Anwendungsbereich der Richtlinie fallen. Die Mitgliedstaaten sollten nicht verpflichtet sein, eine Liste der Einrichtungen zu erstellen, die dieses allgemein anwendbare größenbezogene Kriterium erfüllen. (9)Allerdings sollten auch Klein- und Kleinsteinrichtungen, die bestimmte Kriterien erfüllen, nach denen sie eine Schlüsselrolle für die Wirtschaft oder Gesellschaft des betreffenden Mitgliedstaats oder für bestimmte Sektoren oder Arten von Diensten spielen, von der vorliegenden Richtlinie erfasst werden. Die Mitgliedstaaten sollten für die Erstellung einer Liste solcher Einrichtungen zuständig sein und diese der Kommission übermitteln. (10)Die Kommission kann in Zusammenarbeit mit der Kooperationsgruppe Leitlinien für die Anwendung der für Klein- und Kleinstunternehmen geltenden Kriterien herausgeben. (11)Je nach Sektor, in dem sie tätig sind, oder der Art der von ihnen erbrachten Dienste sollten bei den in den Anwendungsbereich der vorliegenden Richtlinie fallenden Einrichtungen zwei Kategorien unterschieden werden: wesentlich und wichtig. Bei der Einstufung sollte dem Grad der Kritikalität des Sektors oder der Art des Dienstes sowie dem Grad der Abhängigkeit anderer Sektoren oder Arten von Diensten Rechnung getragen werden. Sowohl die wesentlichen als auch die wichtigen Einrichtungen sollten denselben Risikomanagementanforderungen und Meldepflichten unterliegen. Bei den Aufsichts- und Sanktionsregelungen sollte zwischen diesen beiden Kategorien von Einrichtungen differenziert werden, um ein ausgewogenes Verhältnis zwischen Anforderungen und Pflichten einerseits und dem Verwaltungsaufwand, der sich andererseits aus der Überwachung der Einhaltung ergibt, zu gewährleisten. (12)Durch sektorspezifische Rechtsvorschriften und Instrumente kann dazu beigetragen werden, ein hohes Maß an Cybersicherheit zu gewährleisten und gleichzeitig den Besonderheiten und Komplexitäten der Sektoren in vollem Umfang Rechnung zu tragen. Müssen wesentliche oder wichtige Einrichtungen gemäß einem sektorspezifischen Rechtsakt der Union Maßnahmen zum Cybersicherheitsrisikomanagement ergreifen oder Sicherheitsvorfälle oder erhebliche Cyberbedrohungen melden und ist dies in der Wirkung den in der vorliegenden Richtlinie festgelegten Verpflichtungen mindestens gleichwertig, so sollten diese sektorspezifischen Bestimmungen, einschließlich in Bezug auf Aufsicht und Durchsetzung, Anwendung finden. Die Kommission kann Leitlinien im Zusammenhang mit der Umsetzung der lex specialis herausgeben. Die vorliegende Richtlinie schließt nicht aus, dass zusätzliche sektorspezifische Rechtsakte der Union zu Maßnahmen zum Cybersicherheitsrisikomanagement und zur Meldung von Sicherheitsvorfällen erlassen werden. Die vorliegende Richtlinie berührt nicht die bestehenden Durchführungsbefugnisse, die der Kommission in einer Reihe von Sektoren, darunter Verkehr und Energie, übertragen wurden. (13)Die Verordnung XXXX/XXXX des Europäischen Parlaments und des Rates sollte im Zusammenhang mit der vorliegenden Richtlinie als sektorspezifischer Rechtsakt der Union in Bezug auf Einrichtungen des Finanzsektors betrachtet werden. Anstelle der Bestimmungen der vorliegenden Richtlinie sollten die Bestimmungen der Verordnung XXXX/XXXX gelten, die sich auf Risikomanagementmaßnahmen im Bereich der Informations- und Kommunikationstechnologie (IKT), das Management und insbesondere die Meldung von IKT-bezogenen Vorfällen sowie die Prüfung der digitalen Betriebsstabilität, Vereinbarungen über den Informationsaustausch und Risiken durch IKT-Drittanbieter beziehen. Die Mitgliedstaaten sollten daher die Bestimmungen der vorliegenden Richtlinie, die sich auf Cybersicherheitsrisikomanagement und Meldepflichten, Informationsaustausch sowie Aufsicht und Durchsetzung beziehen, nicht auf Finanzunternehmen anwenden, die unter die Verordnung XXXX/XXXX fallen. Gleichzeitig ist es wichtig, im Rahmen der vorliegenden Richtlinie eine enge Beziehung zum und den Informationsaustausch mit dem Finanzsektor aufrechtzuerhalten. Zu diesem Zweck ist es gemäß der Verordnung XXXX/XXXX zulässig, dass die Finanzaufsichtsbehörden, die Europäischen Aufsichtsbehörden für den Finanzsektor und die gemäß der Verordnung XXXX/XXXX zuständigen nationalen Behörden sich an strategischen politischen Diskussionen und der technischen Arbeit der Kooperationsgruppe beteiligen und mit den gemäß der vorliegenden Richtlinie benannten zentralen Anlaufstellen sowie den nationalen CSIRTs Informationen austauschen und zusammenarbeiten. Die gemäß der Verordnung XXXX/XXXX zuständigen Behörden sollten Einzelheiten zu schwerwiegenden IKT-bezogenen Vorfällen auch an die gemäß der vorliegenden Richtlinie benannten zentralen Anlaufstellen übermitteln. Darüber hinaus sollten die Mitgliedstaaten den Finanzsektor weiterhin in ihre Cybersicherheitsstrategien einbeziehen, und die nationalen CSIRTs dürfen den Finanzsektor bei ihren Tätigkeiten einbeziehen. (14)Angesichts der Zusammenhänge zwischen der Cybersicherheit und der physischen Sicherheit von Einrichtungen sollte dafür gesorgt werden, dass der Ansatz der Richtlinie (EU) XXX/XXX des Europäischen Parlaments und des Rates und der Ansatz der vorliegenden Richtlinie kohärent sind. Um dies zu erreichen, sollten die Mitgliedstaaten sicherstellen, dass kritische Einrichtungen und diesen gleichgestellte Einrichtungen im Sinne der Richtlinie (EU) XXX/XXX als wesentliche Einrichtungen im Sinne der vorliegenden Richtlinie gelten. Die Mitgliedstaaten sollten auch sicherstellen, dass ihre Cybersicherheitsstrategien einen politischen Rahmen für eine verstärkte Koordinierung zwischen der gemäß der vorliegenden Richtlinie zuständigen Behörde und der gemäß Richtlinie (EU) XXX/XXX zuständigen Behörde beim Informationsaustausch über Sicherheitsvorfälle und Cyberbedrohungen und bei der Wahrnehmung von Aufsichtsaufgaben vorsehen. Die gemäß diesen beiden Richtlinien zuständigen Behörden sollten zusammenarbeiten und Informationen austauschen, insbesondere in Bezug auf die Ermittlung kritischer Einrichtungen, Cyberbedrohungen, Cybersicherheitsrisiken und Sicherheitsvorfälle, die kritische Einrichtungen beeinträchtigen, sowie über die von kritischen Einrichtungen ergriffenen Cybersicherheitsmaßnahmen. Auf Ersuchen der gemäß der Richtlinie (EU) XXX/XXX zuständigen Behörden sollte den gemäß der vorliegenden Richtlinie zuständigen Behörden gestattet werden, ihre Aufsichts- und Durchsetzungsbefugnisse gegenüber einer als kritisch eingestuften wesentlichen Einrichtung auszuüben. Beide Behörden sollten zu diesem Zweck zusammenarbeiten und Informationen austauschen. (15)Die Beibehaltung eines zuverlässigen, resilienten und sicheren Domänennamensystems (DNS) ist ein Schlüsselfaktor für die Wahrung der Integrität des Internets und von entscheidender Bedeutung für dessen kontinuierlichen und stabilen Betrieb, von dem die digitale Wirtschaft und Gesellschaft abhängig ist. Daher sollte die vorliegende Richtlinie für alle Anbieter von DNS-Diensten entlang der DNS-Auflösungskette gelten, einschließlich Betreibern von Root-Namenservern, Namenservern der Domäne oberster Stufe (TLD-Namenservern), autoritativen Namenservern für Domänennamen und rekursiven Resolvern. (16)Cloud-Computing-Dienste sollten Dienste umfassen, die auf Abruf und umfassend Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer und verteilter Rechenressourcen ermöglichen. Zu diesen Rechenressourcen zählen Ressourcen wie Netze, Server oder sonstige Infrastruktur, Betriebssysteme, Software, Speicher, Anwendungen und Dienste. Die Bereitstellungsmodelle für Cloud-Computing sollten die private, die gemeinschaftliche, die öffentliche und die hybride Cloud umfassen. Die genannten Dienst- und Bereitstellungsmodelle haben dieselbe Bedeutung wie die in der Norm ISO/IEC 17788:2014 definierten Dienst- und Bereitstellungsmodelle. Dass sich der Cloud-Computing-Nutzer selbst ohne Interaktion mit dem Anbieter von Cloud-Computing-Diensten Rechenkapazitäten wie Serverzeit oder Netzwerkspeicherplatz zuweisen kann, könnte als Verwaltung auf Abruf beschrieben werden. Der Begriff „umfassender Fernzugang“ wird verwendet, um zu beschreiben, dass die Cloud-Kapazitäten über das Netz bereitgestellt und über Mechanismen zugänglich gemacht werden, die den Einsatz heterogener Thin- oder Thick-Client-Plattformen (einschließlich Mobiltelefonen, Tablets, Laptops, Arbeitsplatzrechnern) fördern. Der Begriff „skalierbar“ bezeichnet Rechenressourcen, die unabhängig von ihrem geografischen Standort vom Anbieter des Cloud-Dienstes flexibel zugeteilt werden, damit Nachfrageschwankungen bewältigt werden können. Der Begriff „elastischer Pool“ wird verwendet, um die Rechenressourcen zu beschreiben, die entsprechend der Nachfrage bereitgestellt und freigegeben werden, damit die Menge der verfügbaren Ressourcen je nach Arbeitsaufkommen rasch erhöht oder reduziert werden kann. Der Begriff „gemeinsam nutzbar“ wird verwendet, um die Rechenressourcen zu beschreiben, die einer Vielzahl von Nutzern bereitgestellt werden, die über einen gemeinsamen Zugang auf den Dienst zugreifen, wobei jedoch die Verarbeitung für jeden Nutzer separat erfolgt, obwohl der Dienst über dieselbe elektronische Ausrüstung erbracht wird. Der Begriff „verteilt“ wird verwendet, um die Rechenressourcen zu beschreiben, die sich auf verschiedenen vernetzten Computern oder Geräten befinden und die untereinander durch Nachrichtenaustausch kommunizieren und koordinieren. (17)Angesichts des Aufkommens innovativer Technologien und neuer Geschäftsmodelle dürften auf dem Markt neue Bereitstellungs- und Dienstmodelle für Cloud-Computing entstehen, um den sich wandelnden Kundenbedürfnissen gerecht zu werden. In diesem Zusammenhang können Cloud-Computing-Dienste in hochgradig verteilter Form, noch näher am Ort der Datengenerierung oder -sammlung, erbracht werden, wodurch vom traditionellen Modell zu einem hochgradig verteilten Modell („Edge-Computing“) übergegangen wird. (18)Dienste, die von Anbietern von Rechenzentrumsdiensten angeboten werden, werden möglicherweise nicht immer in Form eines Cloud-Computing-Diensts erbracht. Dementsprechend sind Rechenzentren möglicherweise nicht immer Teil einer Cloud-Computing-Infrastruktur. Um allen Risiken für die Sicherheit von Netz- und Informationssystemen zu begegnen, sollte die vorliegende Richtlinie auch für Anbieter solcher Rechenzentrumsdienste gelten, bei denen es sich nicht um Cloud-Computing-Dienste handelt. Für die Zwecke der vorliegenden Richtlinie sollte der Begriff „Rechenzentrumsdienst“ Dienstleistungen umfassen, mit denen Strukturen oder Gruppen von Strukturen für die zentrale Unterbringung, die Verbindung und den Betrieb von Informationstechnologie und Netzausrüstungen zur Erbringung von Datenspeicher-, Datenverarbeitungs- und Datentransportdiensten sowie alle Anlagen und Infrastrukturen für die Leistungsverteilung und die Umgebungskontrolle bereitgestellt werden. Der Begriff „Rechenzentrumsdienst“ gilt nicht für interne Rechenzentren, die sich im Besitz der betreffenden Einrichtung befinden und von ihr für eigene Zwecke betrieben werden. (19)Anbieter von Postdiensten im Sinne der Richtlinie 97/67/EG des Europäischen Parlaments und des Rates sowie Anbieter von Express- und Kurierdiensten sollten der vorliegenden Richtlinie unterliegen, wenn sie mindestens einen der Schritte in der Postzustellkette und insbesondere Abholung, Sortierung oder Zustellung, einschließlich Abholung durch den Empfänger, anbieten. Transportdienste, die nicht in Verbindung mit einem dieser Schritte erbracht werden, sollten nicht unter Postdienste fallen. (20)Diese wachsenden gegenseitigen Abhängigkeiten sind das Ergebnis eines sich über immer mehr Grenzen hinweg erstreckenden und zunehmend interdependenten Dienstleistungsnetzes, das zentrale Infrastrukturen in der gesamten Union nutzt, und zwar in den Sektoren Energie, Verkehr, digitale Infrastruktur, Trinkwasser und Abwasser, Gesundheit, bestimmten Bereichen der öffentlichen Verwaltung sowie im Weltraumsektor, soweit es um die Erbringung bestimmter Dienste geht, die von Bodeninfrastrukturen abhängig sind, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden; damit sind Infrastrukturen ausgenommen, die sich im Eigentum der Union befinden oder von der Union oder in ihrem Namen im Rahmen ihrer Weltraumprogramme verwaltet oder betrieben werden. Wegen dieser gegenseitigen Abhängigkeiten kann jede Störung, auch wenn sie anfänglich auf eine Einrichtung oder einen Sektor beschränkt ist, zu breiteren Kaskadeneffekten führen, die weitreichende und lang anhaltende negative Auswirkungen auf die Erbringung von Dienstleistungen im gesamten Binnenmarkt haben können. Die COVID-19-Pandemie hat gezeigt, wie anfällig unsere zunehmend interdependenten Gesellschaften für Risiken mit geringer Eintrittswahrscheinlichkeit sind. (21)Angesichts der unterschiedlichen nationalen Governancestrukturen und zwecks Beibehaltung von bereits bestehenden sektorbezogenen Vereinbarungen und Aufsichts- oder Regulierungsstellen der Union sollten die Mitgliedstaaten befugt sein, mehr als eine nationale Behörde zu benennen, die für die Erfüllung der Aufgaben im Zusammenhang mit der Sicherheit von Netz- und Informationssystemen von wesentlichen und wichtigen Einrichtungen gemäß der vorliegenden Richtlinie zuständig sind. Die Mitgliedstaaten sollten diese Funktion einer bestehenden Behörde zuweisen dürfen. (22)Zur Erleichterung der grenzüberschreitenden Zusammenarbeit und Kommunikation zwischen Behörden und um die wirksame Umsetzung der vorliegenden Richtlinie zu ermöglichen, ist es notwendig, dass jeder Mitgliedstaat eine nationale zentrale Anlaufstelle benennt, die für die Koordinierung im Zusammenhang mit der Sicherheit von Netz-und Informationssystemen und für die grenzüberschreitende Zusammenarbeit auf Unionsebene zuständig ist. (23)Einrichtungen sollten den zuständigen Behörden oder den CSIRTs Sicherheitsvorfälle wirksam und effizient melden. Die zentralen Anlaufstellen sollten beauftragt werden, die Meldungen über Sicherheitsvorfälle an die zentralen Anlaufstellen anderer betroffener Mitgliedstaaten weiterzuleiten. Damit sichergestellt ist, dass es pro Mitgliedstaat nur eine einzige behördliche Anlaufstelle gibt, sollten die zentralen Anlaufstellen auch relevante Informationen über Vorfälle, die Einrichtungen des Finanzsektors betreffen, von den gemäß der Verordnung XXXX/XXXX zuständigen Behörden entgegennehmen, die sie gegebenenfalls gemäß der vorliegenden Richtlinie an die zuständigen nationalen Behörden oder CSIRTs weiterleiten können sollten. (24)Die Mitgliedstaaten sollten über angemessene technische und organisatorische Kapazitäten zur Prävention, Erkennung, Reaktion und Abschwächung von Sicherheitsvorfällen und Risiken bei Netz- und Informationssystemen verfügen. Die Mitgliedstaaten sollten daher sicherstellen, dass sie über gut funktionierende Reaktionsteams für IT-Sicherheitsvorfälle – Computer Security Incident Response Teams (CSIRTs) oder auch Computer Emergency Response Teams (CERTs) genannt – verfügen, die die grundlegenden Anforderungen erfüllen, damit wirksame und kompatible Kapazitäten zur Bewältigung von Sicherheitsvorfällen und Risiken und eine effiziente Zusammenarbeit auf Unionsebene gewährleistet sind. Um das Vertrauensverhältnis zwischen den Einrichtungen und den CSIRTs zu stärken, sollten die Mitgliedstaaten in Fällen, in denen ein CSIRT Teil der zuständigen Behörde ist, eine funktionale Trennung zwischen den operativen Aufgaben der CSIRTs, insbesondere in Bezug auf den Informationsaustausch und die Unterstützung der Einrichtungen, und den Aufsichtstätigkeiten der zuständigen Behörden in Erwägung ziehen. (25)In Bezug auf personenbezogene Daten sollten CSIRTs in der Lage sein, im Einklang mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates im Namen und auf Ersuchen einer unter die vorliegende Richtlinie fallenden Einrichtung eine proaktive Überprüfung der für die Bereitstellung ihrer Dienste verwendeten Netz- und Informationssysteme auf Schwachstellen vorzunehmen. Die Mitgliedstaaten sollten für alle sektorbezogenen CSIRTs ein vergleichbares Niveau an technischen Kapazitäten anstreben. Die Mitgliedstaaten können die Agentur der Europäischen Union für Cybersicherheit (ENISA) um Unterstützung bei der Einsetzung nationaler CSIRTs ersuchen. (26)Wegen der Bedeutung der internationalen Zusammenarbeit im Bereich Cybersicherheit sollten die CSIRTs sich zusätzlich zum durch die vorliegende Richtlinie geschaffenen CSIRT-Netzwerk an internationalen Kooperationsnetzen beteiligen können.

(27)Im Einklang mit dem Anhang der Empfehlung (EU) 2017/1548 der Kommission für eine koordinierte Reaktion auf große Cybersicherheitsvorfälle und -krisen („Konzeptentwurf“) sollte der Begriff „Sicherheitsvorfall großen Ausmaßes“ einen Sicherheitsvorfall bezeichnen, der beträchtliche Auswirkungen auf mindestens zwei Mitgliedstaaten hat oder der eine Störung verursacht, deren Ausmaß die Reaktionsfähigkeit eines Mitgliedstaats übersteigt. Je nach Ursache und Auswirkung können sich Sicherheitsvorfälle großen Ausmaßes verschärfen und zu echten Krisen entwickeln, die das reibungslose Funktionieren des Binnenmarkts verhindern. Angesichts der großen Tragweite und des, in den meisten Fällen, grenzübergreifenden Charakters solcher Sicherheitsvorfälle sollten die Mitgliedstaaten und die einschlägigen Organe, Einrichtungen und sonstigen Stellen der Union auf technischer, operativer und politischer Ebene zusammenarbeiten, um die Reaktion unionsweit angemessen zu koordinieren. (28)Da durch die Ausnutzung von Schwachstellen in Netz- und Informationssystemen erhebliche Störungen und Schäden verursacht werden können, ist die rasche Erkennung und Behebung dieser Schwachstellen ein wichtiger Faktor bei der Verringerung des Cybersicherheitsrisikos. Einrichtungen, die solche Systeme entwickeln, sollten daher geeignete Verfahren für die Behandlung von entdeckten Schwachstellen festlegen. Da Schwachstellen häufig von Dritten (meldenden Einrichtungen) entdeckt und gemeldet (offengelegt) werden, sollte der Hersteller oder Anbieter von IKT-Produkten oder -Diensten auch Verfahren einführen, damit er von Dritten Informationen über Schwachstellen entgegennehmen kann. Diesbezüglich enthalten die internationalen Normen ISO/IEC 30111 und ISO/IEC 29417 Leitlinien für die Behandlung von Schwachstellen bzw. die Offenlegung von Schwachstellen. In Bezug auf die Offenlegung von Schwachstellen ist die Koordinierung zwischen meldenden Einrichtungen und Herstellern oder Anbietern von IKT-Produkten oder -Diensten besonders wichtig. Die koordinierte Offenlegung von Schwachstellen erfolgt in einem strukturierten Prozess, in dem den Organisationen Schwachstellen in einer Weise gemeldet werden, die der Organisation die Diagnose und Behebung der Schwachstelle ermöglicht, bevor detaillierte Informationen über die Schwachstelle an Dritte oder die Öffentlichkeit weitergegeben werden. Die koordinierte Offenlegung von Schwachstellen sollte auch die Koordinierung zwischen der meldenden Einrichtung und der Organisation in Bezug auf den Zeitplan für die Behebung und Veröffentlichung von Schwachstellen umfassen. (29)Die Mitgliedstaaten sollten daher Maßnahmen ergreifen, um eine koordinierte Offenlegung von Schwachstellen zu erleichtern, indem sie eine einschlägige nationale Strategie festlegen. In diesem Zusammenhang sollten die Mitgliedstaaten ein CSIRT benennen, das die Rolle des „Koordinators“ übernimmt und gegebenenfalls zwischen den meldenden Einrichtungen und den Herstellern oder Anbietern von IKT-Produkten oder -Diensten vermittelt. Zu den Aufgaben des als Koordinator benannten CSIRT sollte insbesondere gehören, betroffene Einrichtungen zu ermitteln und zu kontaktieren, meldende Einrichtungen zu unterstützen, Zeitpläne für die Offenlegung auszuhandeln und das Vorgehen bei Schwachstellen zu koordinieren, die mehrere Organisationen betreffen (Offenlegung von Schwachstellen, die mehrere Parteien betreffen). Betreffen Schwachstellen mehrere Hersteller oder Anbieter von IKT-Produkten oder -Diensten, die in mehr als einem Mitgliedstaat niedergelassen sind, sollten die benannten CSIRTs aus den betroffenen Mitgliedstaaten im Rahmen des CSIRT-Netzwerkes zusammenarbeiten. (30)Der rechtzeitige Zugang zu korrekten Informationen über Schwachstellen, die IKT-Produkte und -Dienste beeinträchtigen, trägt zu einem besseren Cybersicherheitsrisikomanagement bei. In dieser Hinsicht sind öffentlich zugängliche Informationen über Schwachstellen nicht nur für Einrichtungen und deren Nutzer, sondern auch für die zuständigen nationalen Behörden und die CSIRTs ein wichtiges Instrument. Aus diesem Grund sollte die ENISA ein Schwachstellenregister einrichten, in dem wesentliche und wichtige Einrichtungen und deren Anbieter sowie, auf freiwilliger Basis, Einrichtungen, die nicht in den Anwendungsbereich der vorliegenden Richtlinie fallen, Schwachstellen offenlegen und Informationen über die Schwachstellen bereitstellen, die es den Nutzern ermöglichen, geeignete Abhilfemaßnahmen zu ergreifen. (31)Es gibt zwar bereits ähnliche Register oder Datenbanken für Schwachstellen, aber diese werden von Einrichtungen betrieben und gepflegt, die nicht in der Union niedergelassen sind. Ein von der ENISA gepflegtes europäisches Schwachstellenregister würde für mehr Transparenz in Bezug auf den Prozess der Veröffentlichung vor der offiziellen Offenlegung der Schwachstelle sorgen und die Resilienz im Falle von Störungen oder Unterbrechungen bei der Erbringung ähnlicher Dienste verbessern. Um Doppelarbeit zu vermeiden und im Interesse der größtmöglichen Komplementarität, sollte die ENISA die Möglichkeit prüfen, Vereinbarungen über eine strukturierte Zusammenarbeit mit ähnlichen Registern in Drittländern zu schließen. (32)Die Kooperationsgruppe sollte alle zwei Jahre ein Arbeitsprogramm aufstellen, in dem die Maßnahmen aufgeführt sind, die die Gruppe zur Umsetzung ihrer Ziele und Aufgaben zu ergreifen hat. Der Zeitrahmen des ersten Programms, das gemäß der vorliegenden Richtlinie angenommen wird, sollte an den Zeitrahmen des letzten gemäß der Richtlinie (EU) 2016/1148 angenommenen Programms angepasst werden, um etwaige Unterbrechungen der Arbeit der Gruppe zu vermeiden. (33)Bei der Ausarbeitung von Leitfäden sollte die Kooperationsgruppe konsequent nationale Lösungen und Erfahrungen erfassen, die Auswirkungen ihrer Vorgaben auf nationale Ansätze bewerten, Herausforderungen bei der Umsetzung erörtern und spezifische Empfehlungen für eine bessere Umsetzung bestehender Vorschriften formulieren. (34)Die Kooperationsgruppe sollte ein flexibles Forum bleiben und in der Lage sein, unter Berücksichtigung der verfügbaren Ressourcen auf sich ändernde und neue politische Prioritäten und Herausforderungen zu reagieren. Sie sollte regelmäßige gemeinsame Sitzungen mit einschlägigen privaten Interessenträgern aus der gesamten Union organisieren, um die Tätigkeiten der Gruppe zu erörtern und Beiträge zu neuen politischen Herausforderungen einzuholen. Um die Zusammenarbeit auf Unionsebene zu verbessern, sollte die Gruppe in Erwägung ziehen, mit Cybersicherheitspolitik befasste Einrichtungen und Agenturen der Union, etwa das Europäische Zentrum zur Bekämpfung der Cyberkriminalität (EC3), die Agentur der Europäischen Union für Flugsicherheit (EASA) und die Agentur der Europäischen Union für das Weltraumprogramm (EUSPA), zur Teilnahme an ihrer Arbeit einzuladen. (35)Die zuständigen Behörden und CSIRTs sollten befugt sein, an Austauschprogrammen für Bedienstete aus anderen Mitgliedstaaten teilzunehmen, um die Zusammenarbeit zu verbessern. Die zuständigen Behörden sollten Maßnahmen ergreifen, damit die Bediensteten aus anderen Mitgliedstaaten bei den Tätigkeiten der aufnehmenden zuständigen Behörde konstruktiv mitwirken können. (36)Die Union sollte gegebenenfalls internationale Übereinkünfte mit Drittländern oder internationalen Organisationen im Einklang mit Artikel 218 AEUV schließen, in denen deren Beteiligung an bestimmten Tätigkeiten der Kooperationsgruppe und dem CSIRT-Netzwerk ermöglicht und geregelt wird. Solche Übereinkünfte sollten einen angemessenen Datenschutz gewährleisten. (37)Die Mitgliedstaaten sollten über die bestehenden Kooperationsnetzwerke – insbesondere das Netzwerk der Verbindungsorganisationen für Cyberkrisen (Cyber Crisis Liaison Organisation Network, EU-CyCLONe), das CSIRT-Netzwerk und die Kooperationsgruppe – zur Schaffung des EU-Rahmens für die Reaktion auf Cybersicherheitskrisen gemäß der Empfehlung (EU) 2017/1584 beitragen. EU-CyCLONe und das CSIRT-Netzwerk sollten auf der Grundlage von verfahrenstechnischen Vereinbarungen zusammenarbeiten, in denen die Modalitäten dieser Zusammenarbeit festgelegt werden. In der Geschäftsordnung von EU-CyCLONe sollten die Modalitäten für das Funktionieren des Netzwerks genauer festgelegt werden, einschließlich, aber nicht beschränkt auf Funktion und Aufgaben, Formen der Zusammenarbeit, Interaktionen mit anderen relevanten Akteuren und Vorlagen für den Informationsaustausch sowie Kommunikationsmittel. Für das Krisenmanagement auf Unionsebene sollten sich die relevanten Parteien auf die Integrierte Regelung für die politische Reaktion auf Krisen (IPCR) stützen. Die Kommission sollte zu diesem Zweck auf den sektorübergreifenden Krisenkoordinierungsprozess auf hoher Ebene, ARGUS, zurückgreifen. Berührt die Krise eine wichtige externe Dimension oder eine Dimension der Gemeinsamen Sicherheits- und Verteidigungspolitik (GSVP), so sollte der Krisenreaktionsmechanismus des Europäischen Auswärtigen Dienstes (EAD) ausgelöst werden. (38)Für die Zwecke der vorliegenden Richtlinie sollte sich der Begriff „Risiko“ auf das Potenzial für Verluste oder Störungen infolge eines Cybersicherheitsvorfalls beziehen und als Kombination des Ausmaßes eines solchen Verlusts oder einer solchen Störung und der Wahrscheinlichkeit des Eintretens des besagten Sicherheitsvorfalls ausgedrückt werden. (39)Für die Zwecke der vorliegenden Richtlinie sollte sich der Begriff „Beinahe-Vorfälle“ auf ein Ereignis beziehen, das das Potenzial gehabt hätte, Schäden zu verursachen, dessen vollständiger Eintritt jedoch verhindert wurde. (40)Das Risikomanagement sollte auch Maßnahmen zur Ermittlung jeder Gefahr eines Sicherheitsvorfalls, zur Verhinderung, Aufdeckung und Bewältigung von Sicherheitsvorfällen sowie der Minderung ihrer Folgen umfassen. Die Sicherheit von Netz- und Informationssystemen sollte sich auch auf gespeicherte, übermittelte und verarbeitete Daten erstrecken. (41)Damit keine unverhältnismäßige finanzielle und administrative Belastung für wesentliche und wichtige Einrichtungen entsteht, sollten die Anforderungen an das Cybersicherheitsrisikomanagement in einem angemessenen Verhältnis zu den Risiken stehen, denen das betreffende Netz- und Informationssystem ausgesetzt ist; dabei wird dem bei solchen Maßnahmen geltenden neuesten Stand Rechnung getragen. (42)Wesentliche und wichtige Einrichtungen sollten die Sicherheit der bei ihren Tätigkeiten verwendeten Netz- und Informationssysteme gewährleisten. Hauptsächlich handelt es sich dabei um private Netz- und Informationssysteme, die entweder von internem IT-Personal verwaltet werden oder deren Sicherheit Dritten anvertraut wurde. Die Anforderungen an das Cybersicherheitsrisikomanagement und die Meldepflicht gemäß der vorliegenden Richtlinie sollten für die einschlägigen wesentlichen und wichtigen Einrichtungen unabhängig davon gelten, ob sie ihre Netz- und Informationssysteme intern warten oder diese Aufgabe ausgliedern. (43)Besonders wichtig ist die Bewältigung von Cybersicherheitsrisiken, die die Lieferkette von Einrichtungen und deren Beziehungen zu den Lieferanten betreffen, da sich die Vorfälle häufen, bei denen Einrichtungen Opfer von Cyberangriffen werden und es böswilligen Akteuren gelingt, die Sicherheit der Netz- und Informationssysteme zu beeinträchtigen, indem Schwachstellen im Zusammenhang mit den Produkten und Dienstleistungen Dritter ausgenutzt werden. Die Einrichtungen sollten daher die Gesamtqualität der Produkte und Cybersicherheitsverfahren ihrer Lieferanten und Diensteanbieter, einschließlich ihrer sicheren Entwicklungsprozesse, bewerten und berücksichtigen. (44)Unter den Diensteanbietern spielen die Anbieter verwalteter Sicherheitsdienste (Managed Security Services Providers, MSSP) in Bereichen wie Reaktion auf Sicherheitsvorfälle, Penetrationstests, Sicherheitsaudits und Beratung eine überaus wichtige Rolle, indem sie Einrichtungen bei deren Bemühungen um die Erkennung und Bewältigung von Sicherheitsvorfällen unterstützen. Allerdings sind auch die MSSP selbst das Ziel von Cyberangriffen und stellen durch ihre enge Einbindung in die Tätigkeiten der Betreiber ein besonderes Cybersicherheitsrisiko dar. Die Einrichtungen sollten daher bei der Wahl eines MSSP erhöhte Sorgfalt walten lassen. (45)Die Einrichtungen sollten sich auch mit Cybersicherheitsrisiken befassen, die sich aus ihren Interaktionen und Beziehungen zu anderen interessierten Kreisen in einem weiter gefassten Ökosystem ergeben. Insbesondere sollten die Einrichtungen durch geeignete Maßnahmen sicherstellen, dass ihre Zusammenarbeit mit Hochschul- und Forschungseinrichtungen ihrer Cybersicherheitsstrategie entspricht und dabei bewährte Verfahren befolgt werden, was den sicheren Zugang zu sowie die Verbreitung von Informationen im Allgemeinen und den Schutz des geistigen Eigentums im Besonderen angeht. Auch sollten in Anbetracht der Bedeutung und des Wertes von Daten für die Tätigkeiten der Einrichtungen letztere alle geeigneten Cybersicherheitsmaßnahmen ergreifen, wenn sie die Datenverarbeitungs- und ‑analysedienste Dritter in Anspruch nehmen. (46)Um die Hauptrisiken für die Lieferkette weiter anzugehen und den Einrichtungen in den unter diese Richtlinie fallenden Sektoren dabei zu helfen, Cybersicherheitsrisiken in Bezug auf die Lieferkette und die Lieferanten angemessen zu beherrschen, sollte die Kooperationsgruppe, an der die einschlägigen nationalen Behörden beteiligt sind, in Zusammenarbeit mit der Kommission und der ENISA koordinierte sektorenbezogene Lieferketten-Risikobewertungen – wie im Fall der 5G-Netze gemäß der einschlägigen Empfehlung (EU) 2019/534 – durchführen, um für jeden Sektor die kritischen IKT-Dienste, -Systeme oder -Produkte sowie relevante Bedrohungen und Schwachstellen zu ermitteln.

(47)Bei den Lieferketten-Risikobewertungen unter Berücksichtigung der Besonderheiten des jeweiligen Sektors sollte sowohl technischen wie auch gegebenenfalls nichttechnischen Faktoren Rechnung getragen werden, einschließlich derer, die in der Empfehlung (EU) 2019/534, in der EU-weit koordinierten Risikobewertung zur Cybersicherheit in 5G-Netzen sowie in dem von der Kooperationsgruppe vereinbarten EU-Instrumentarium für die 5G-Cybersicherheit definiert sind. Bei der Ermittlung der Lieferketten, die einer koordinierten Risikobewertung unterzogen werden sollten, sollten folgende Kriterien berücksichtigt werden: i) der Umfang, in dem wesentliche und wichtige Einrichtungen bestimmte kritische IKT-Dienste, -Systeme oder ‑Produkte nutzen und auf sie angewiesen sind; ii) die Bedeutung bestimmter kritischer IKT-Dienste, -Systeme oder -Produkte für die Ausführung kritischer oder sensibler Funktionen, einschließlich der Verarbeitung personenbezogener Daten; iii) die Verfügbarkeit alternativer IKT-Dienste, -Systeme oder -Produkte; iv) die Resilienz der gesamten Lieferkette von IKT-Diensten, -Systemen oder -Produkten gegen destabilisierende Ereignisse und v) die potenzielle künftige Bedeutung neuer IKT-Dienste, -Systeme oder -Produkte für die Tätigkeiten der Einrichtungen. (48)Zur Straffung der rechtlichen Verpflichtungen, die Anbietern öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste sowie Vertrauensdiensteanbietern hinsichtlich der Sicherheit ihrer Netze und Informationssysteme auferlegt werden, und um diese Einrichtungen und ihre jeweiligen zuständigen Behörden von dem durch diese Richtlinie geschaffenen Rechtsrahmen profitieren zu lassen (u. a. Benennung der für die Bewältigung von Risiken und Vorfällen zuständigen Reaktionsteams für IT-Sicherheitsvorfälle (CSIRTs), Beteiligung der zuständigen Behörden und Stellen an der Arbeit der Kooperationsgruppe und des CSIRT-Netzwerks), sollten sie in den Anwendungsbereich dieser Richtlinie aufgenommen werden. Die entsprechenden Bestimmungen der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates und der Richtlinie (EU) 2018/1972 des Europäischen Parlaments und des Rates, mit denen diesen Arten von Einrichtungen Sicherheitsanforderungen und Meldepflichten auferlegt werden, sollten daher aufgehoben werden. Die Vorschriften über die Meldepflichten sollten die Verordnung (EU) 2016/679 und die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates unberührt lassen. (49)Sofern angebracht und um unnötige Unterbrechungen zu vermeiden, sollten bestehende nationale Leitlinien und nationale Rechtsvorschriften, die zur Umsetzung der Vorschriften über Sicherheitsmaßnahmen gemäß Artikel 40 Absatz 1 der Richtlinie (EU) 2018/1972 sowie der Anforderungen des Artikels 40 Absatz 2 der genannten Richtlinie bezüglich der Parameter zur Bestimmung des Ausmaßes eines Sicherheitsvorfalls erlassen wurden, weiterhin von den für die Überwachung und Durchsetzung im Sinne dieser Richtlinie zuständigen Behörden genutzt werden. (50)Angesichts der wachsenden Bedeutung nummernunabhängiger interpersoneller Kommunikationsdienste muss sichergestellt werden, dass auch für diese Dienste angemessene Sicherheitsanforderungen entsprechend ihrer spezifischen Art und wirtschaftlichen Bedeutung gelten. Die Anbieter solcher Dienste sollten daher auch ein Sicherheitsniveau von Netz- und Informationssystemen gewährleisten, das dem bestehenden Risiko angemessen ist. Da die Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste üblicherweise keine tatsächliche Kontrolle über die Signalübertragung über Netze ausüben, kann das Risiko für solche Dienste in gewisser Hinsicht als geringer erachtet werden als für herkömmliche elektronische Kommunikationsdienste. Dasselbe gilt auch für interpersonelle Kommunikationsdienste, die Nummern nutzen und die keine tatsächliche Kontrolle über die Signalübertragung ausüben. (51)Das Funktionieren des Internets ist für den Binnenmarkt wichtiger denn je. Die Dienstleistungen praktisch aller wesentlichen und wichtigen Einrichtungen hängen ihrerseits von Diensten ab, die über das Internet erbracht werden. Für die reibungslose Bereitstellung von Diensten wesentlicher und wichtiger Einrichtungen ist es wichtig, dass für öffentliche elektronische Kommunikationsnetze, z. B. Internet-Backbone- oder Seekabel, geeignete Cybersicherheitsmaßnahmen bestehen und diesbezügliche Sicherheitsvorfälle gemeldet werden. (52)Gegebenenfalls sollten die Einrichtungen die Empfänger ihrer Dienste über besondere und erhebliche Bedrohungen sowie über Maßnahmen informieren, die sie ergreifen können, um das sich daraus ergebende Risiko für sich selbst zu mindern. Die Verpflichtung zur Information der Empfänger über solche Bedrohungen sollte die Einrichtungen nicht von der Pflicht befreien, auf eigene Kosten angemessene Sofortmaßnahmen zu ergreifen, um jedwede Cyberbedrohung zu verhüten oder zu beseitigen und das normale Sicherheitsniveau des Dienstes wiederherzustellen. Die Bereitstellung solcher Informationen über Sicherheitsbedrohungen sollte für die Empfänger kostenlos sein. (53)Insbesondere sollten die Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste die Empfänger der Dienste über besondere und erhebliche Cyberbedrohungen sowie über Maßnahmen zum Schutz von Kommunikationsinhalten, die sie treffen können, informieren, z. B. den Einsatz spezieller Software oder von Verschlüsselungsverfahren. (54)Zur Aufrechterhaltung der Sicherheit elektronischer Kommunikationsnetze und -dienste sollte die Verschlüsselung, insbesondere von Ende zu Ende, gefördert werden; erforderlichenfalls sollte sie für die Anbieter solcher Dienste und Netze im Einklang mit den Grundsätzen der Sicherheit und des Schutzes der Privatsphäre mittels datenschutzfreundlicher Voreinstellungen und Technikgestaltung für die Zwecke des Artikels 18 vorgeschrieben werden. Die Nutzung der End-zu-End-Verschlüsselung sollte mit den Befugnissen der Mitgliedstaaten, den Schutz ihrer wesentlichen Sicherheitsinteressen und der öffentlichen Sicherheit zu gewährleisten und die Ermittlung, Aufdeckung und Verfolgung von Straftaten im Einklang mit dem Unionsrecht zu ermöglichen, in Einklang gebracht werden. Lösungen für den rechtmäßigen Zugang zu Informationen in End-zu-End-verschlüsselter Kommunikation sollten die Wirksamkeit der Verschlüsselung beim Schutz der Privatsphäre und der Sicherheit der Kommunikation aufrechterhalten und zugleich eine wirksame Reaktion auf Straftaten gewährleisten. (55)Mit dieser Richtlinie wird ein zweistufiger Ansatz für die Meldung von Sicherheitsvorfällen festgelegt, um die richtige Balance herzustellen zwischen einer zeitnahen Meldung einerseits, die einer potenziellen Ausbreitung von Sicherheitsvorfällen entgegenwirkt und den Einrichtungen die Möglichkeit gibt, Unterstützung zu erhalten, und einer detaillierten Meldung andererseits, bei der aus individuellen Sicherheitsvorfällen wichtige Lehren gezogen werden und einzelne Unternehmen und ganze Sektoren ihre Resilienz gegenüber Cyberbedrohungen im Laufe der Zeit verbessern können. Erhalten Einrichtungen Kenntnis von einem Sicherheitsvorfall, sollten sie innerhalb von 24 Stunden eine erste Meldung übermitteln und spätestens einen Monat danach einen Abschlussbericht vorlegen müssen. Die Erstmeldung sollte nur die Informationen enthalten, die unbedingt erforderlich sind, um die zuständigen Behörden über den Sicherheitsvorfall zu unterrichten und es der Einrichtung zu ermöglichen, bei Bedarf Hilfe in Anspruch zu nehmen. Gegebenenfalls sollte aus dieser Meldung hervorgehen, ob der Sicherheitsvorfall vermutlich auf rechtswidrige oder böswillige Handlungen zurückzuführen ist. Die Mitgliedstaaten sollten sicherstellen, dass durch die Pflicht zur Übermittlung dieser Erstmeldung die Ressourcen der meldenden Einrichtung für Tätigkeiten im Zusammenhang mit der Bewältigung von Sicherheitsvorfällen, die Vorrang haben sollten, nicht beeinträchtigt werden. Zur weiteren Verhinderung, dass die Meldepflichten für Sicherheitsvorfälle entweder zulasten der Ressourcen gehen, auf solche Vorfälle zu reagieren, oder entsprechende Anstrengungen der Einrichtungen anderweitig beeinträchtigt werden, sollten die Mitgliedstaaten auch vorsehen, dass die betreffende Einrichtung in hinreichend begründeten Fällen und im Einvernehmen mit den zuständigen Behörden oder dem CSIRT von der Frist von 24 Stunden für die Erstmeldung bzw. einem Monat für den Abschlussbericht abweichen kann. (56)Wesentliche und wichtige Einrichtungen sind häufig in einer Situation, in der ein bestimmter Sicherheitsvorfall aufgrund seiner Merkmale und sich aus verschiedenen Rechtsinstrumenten ergebender Meldepflichten verschiedenen Behörden gemeldet werden muss. Solche Fälle führen zu zusätzlichen Belastungen und unter Umständen auch zu Unsicherheiten hinsichtlich des Formats solcher Meldungen und der für sie geltenden Verfahren. Vor diesem Hintergrund und zur Vereinfachung der Meldung von Sicherheitsvorfällen sollten die Mitgliedstaaten eine zentrale Anlaufstelle für alle Meldungen einrichten, die aufgrund dieser Richtlinie sowie anderer EU-Rechtsvorschriften wie der Verordnung (EU) 2016/679 und der Richtlinie 2002/58/EG vorgeschrieben sind. Die ENISA sollte in Zusammenarbeit mit der Kooperationsgruppe mittels Leitlinien einheitliche Meldemuster erstellen, die die im Unionsrecht geforderten Informationen vereinfachen und straffen und den Aufwand für die Unternehmen verringern würden. (57)Wenn der Verdacht besteht, dass ein Sicherheitsvorfall im Zusammenhang mit schweren kriminellen Handlungen nach Unionsrecht oder nationalem Recht steht, sollten die Mitgliedstaaten wesentliche und wichtige Einrichtungen – auf der Grundlage geltender strafverfahrensrechtlicher Bestimmungen im Einklang mit dem Unionsrecht – dazu anhalten, diese Sicherheitsvorfälle mit einem mutmaßlichen schwerwiegenden kriminellen Hintergrund den zuständigen Strafverfolgungsbehörden zu melden. Unbeschadet der für Europol geltenden Vorschriften für den Schutz personenbezogener Daten ist gegebenenfalls die Unterstützung durch das EC3 und die ENISA bei der Koordinierung zwischen den zuständigen Behörden und den Strafverfolgungsbehörden verschiedener Mitgliedstaaten wünschenswert. (58)Häufig ist bei Sicherheitsvorfällen der Schutz personenbezogener Daten nicht mehr gewährleistet. In diesem Zusammenhang sollten die zuständigen Behörden gemäß der Richtlinie 2002/58/EG mit den Datenschutzbehörden und den Aufsichtsbehörden zusammenarbeiten und Informationen über alle relevanten Angelegenheiten austauschen. (59)Die Pflege genauer und vollständiger Datenbanken mit Domänennamen und Registrierungsdaten (sogenannte „WHOIS-Daten“) und ein rechtmäßiger Zugang zu diesen Daten sind entscheidend, um die Sicherheit, Stabilität und Resilienz des DNS zu gewährleisten, was wiederum zu einem hohen gemeinsamen Cybersicherheitsniveau in der Union beiträgt. Werden auch personenbezogene Daten verarbeitet, so muss diese Verarbeitung mit dem EU-Datenschutzrecht im Einklang stehen. (60)Die Verfügbarkeit und zeitnahe Zugänglichkeit dieser Daten für Behörden, einschließlich der nach Unionsrecht oder nationalem Recht für die Verhütung, Ermittlung oder Verfolgung von Straftaten zuständigen Behörden, CERTs, CSIRTs und – soweit es die Daten ihrer Kunden betrifft – Anbietern elektronischer Kommunikationsnetze und -dienste sowie Anbietern von Cybersicherheitstechnologien und -diensten, die im Namen dieser Kunden tätig sind, ist von wesentlicher Bedeutung, um Missbrauch des Domänennamensystems abzuwenden und zu bekämpfen und insbesondere Cybersicherheitsvorfällen vorzubeugen, sie zu erkennen und zu bewältigen. Dieser Zugang sollte, soweit personenbezogene Daten betroffen sind, mit dem EU-Datenschutzrecht im Einklang stehen. (61)Zur Gewährleistung der Verfügbarkeit genauer und vollständiger Domänennamen-Registrierungsdaten sollten die TLD-Register und die Einrichtungen, die Domänennamen-Registrierungsdienste für die TLD erbringen (sogenannte Registrierstellen), die Integrität und Verfügbarkeit von Domänennamen-Registrierungsdaten erfassen und garantieren. Insbesondere sollten die TLD-Register und die Einrichtungen, die Domänennamen-Registrierungsdienste für die TLD erbringen, Grundsätze und Verfahren festlegen, um im Einklang mit den EU-Datenschutzvorschriften genaue und vollständige Registrierungsdaten zu erfassen und zu pflegen sowie unrichtige Registrierungsdaten zu verhindern bzw. zu berichtigen. (62)TLD-Register und die Einrichtungen, die Domänennamen-Registrierungsdienste für sie erbringen, sollten Domänennamen-Registrierungsdaten, die nicht den EU-Datenschutzvorschriften unterliegen, z. B. Daten, die juristische Personen betreffen, öffentlich zugänglich machen. TLD-Register und die Einrichtungen, die Domänennamen-Registrierungsdienste für die TLD erbringen, sollten es auch ermöglichen, dass berechtigte Zugangsnachfrager rechtmäßigen Zugang zu bestimmten Domänennamen-Registrierungsdaten natürlicher Personen im Einklang mit dem EU-Datenschutzrecht erhalten. Die Mitgliedstaaten sollten sicherstellen, dass TLD-Register und die Einrichtungen, die Domänennamen-Registrierungsdienste für sie erbringen, Anträge berechtigter Zugangsnachfrager auf Offenlegung von Domänennamen-Registrierungsdaten unverzüglich beantworten. TLD-Register und die Einrichtungen, die Domänennamen-Registrierungsdienste für sie erbringen, sollten Grundsätze und Verfahren für die Veröffentlichung und Offenlegung von Registrierungsdaten festlegen, einschließlich Leistungsvereinbarungen für die Bearbeitung von Anträgen berechtigter Zugangsnachfrager. Das Zugangsverfahren kann auch die Verwendung einer Schnittstelle, eines Portals oder eines anderen technischen Instruments umfassen, um ein effizientes System für die Anforderung von und den Zugriff auf Registrierungsdaten bereitzustellen. Zur Förderung einheitlicher Verfahren für den gesamten Binnenmarkt kann die Kommission unbeschadet der Zuständigkeiten des Europäischen Datenschutzausschusses Leitlinien zu solchen Verfahren erlassen. (63)Alle wesentlichen und wichtigen Einrichtungen, die unter diese Richtlinie fallen, sollten der gerichtlichen Zuständigkeit des Mitgliedstaats unterliegen, in dem sie ihre Dienste erbringen. Erbringt die Einrichtung Dienste in mehreren Mitgliedstaaten, so sollte sie unter die getrennte und parallele gerichtliche Zuständigkeit der betreffenden Mitgliedstaaten fallen. Die zuständigen Behörden dieser Mitgliedstaaten sollten zusammenarbeiten, einander Amtshilfe leisten und gegebenenfalls gemeinsame Aufsichtstätigkeiten durchführen. (64)Da die Dienste und Tätigkeiten, die von DNS-Diensteanbietern, TLD-Namenregistern, Betreibern von Inhaltszustellnetzen, Anbietern von Cloud-Computing-Diensten sowie Anbietern von Rechenzentrumsdiensten und Anbietern digitaler Dienste erbracht werden, grenzübergreifenden Charakter haben, sollte jeweils immer nur ein Mitgliedstaat für diese Einrichtungen zuständig sein. Die gerichtliche Zuständigkeit sollte bei dem Mitgliedstaat liegen, in dem die betreffende Einrichtung ihre Hauptniederlassung in der Union hat. Das Kriterium der Niederlassung im Sinne dieser Richtlinie setzt die effektive und tatsächliche Ausübung einer Tätigkeit durch eine feste Einrichtung voraus. Die Rechtsform einer solchen Einrichtung, gleich, ob es sich um eine Zweigstelle oder eine Tochtergesellschaft mit eigener Rechtspersönlichkeit handelt, ist dabei unerheblich. Dieses Kriterium sollte nicht davon abhängen, ob die Netz- und Informationssysteme an einem bestimmten Ort physisch untergebracht sind; die Existenz und die Nutzung derartiger Systeme stellen an sich keine derartige Hauptniederlassung dar und sind daher kein ausschlaggebendes Kriterium für die Bestimmung der Hauptniederlassung. Die Hauptniederlassung sollte der Ort sein, an dem in der Union über Maßnahmen des Cybersicherheitsrisikomanagements entschieden wird. In der Regel entspricht dies dem Ort, an dem sich die Hauptverwaltung der Unternehmen in der Union befindet. Werden solche Entscheidungen nicht in der Union getroffen, sollte davon ausgegangen werden, dass sich die Hauptniederlassung in dem Mitgliedstaat befindet, in dem die Einrichtung über eine Niederlassung mit der unionsweit höchsten Beschäftigtenzahl verfügt. Werden die Dienste von einer Unternehmensgruppe ausgeführt, so sollte die Hauptniederlassung des herrschenden Unternehmens als Hauptniederlassung der Unternehmensgruppe gelten. (65)Bieten DNS-Diensteanbieter, TLD-Namenregister, Betreiber von Inhaltszustellnetzen, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten oder Anbieter digitaler Dienste, die keine Niederlassung in der Union haben, Dienste in der Union an, so sollten sie einen Vertreter benennen. Um festzustellen, ob eine solche Einrichtung in der Union Dienste anbietet, sollte geprüft werden, ob sie offensichtlich beabsichtigt, Personen in einem oder mehreren Mitgliedstaaten Dienste anzubieten. Die bloße Zugänglichkeit der Website einer Einrichtung oder eines Vermittlers von der Union aus oder einer E-Mail-Adresse oder anderer Kontaktdaten sind zur Feststellung einer solchen Absicht ebenso wenig ausreichend wie die Verwendung einer Sprache, die in dem Drittland, in dem die Einrichtung niedergelassen ist, allgemein gebräuchlich ist. Jedoch können andere Faktoren wie die Verwendung einer Sprache oder Währung, die in einem oder mehreren Mitgliedstaaten gebräuchlich ist, in Verbindung mit der Möglichkeit, Dienste in dieser anderen Sprache zu bestellen, oder die Erwähnung von Kunden oder Nutzern in der Union darauf hindeuten, dass die Einrichtung beabsichtigt, in der Union Dienste anzubieten. Der Vertreter sollte im Auftrag der Einrichtung handeln, und es sollte für die zuständigen Behörden oder die CSIRTs möglich sein, mit ihm Kontakt aufzunehmen. Der Vertreter sollte von der Einrichtung ausdrücklich schriftlich beauftragt werden, im Rahmen der sich aus dieser Richtlinie ergebenden Pflichten der Einrichtung in deren Auftrag zu handeln, was auch die Meldung von Sicherheitsvorfällen einschließt. (66)Werden nach nationalem Recht oder Unionsrecht als Verschlusssache geltende Informationen gemäß den Bestimmungen dieser Richtlinie ausgetauscht, gemeldet oder auf andere Weise weitergegeben, so sollten die entsprechenden besonderen Vorschriften für den Umgang mit Verschlusssachen angewandt werden.

(67)Da Cyberbedrohungen komplexer und technisch ausgereifter werden, hängen gute Erkennungs- und Präventionsmaßnahmen in hohem Maße von einem regelmäßigen Informationsaustausch zwischen den Einrichtungen über Bedrohungen und Schwachstellen ab. Ein Informationsaustausch trägt dazu bei, das Bewusstsein für Cyberbedrohungen zu schärfen, wodurch die Einrichtungen Bedrohungen abwehren können, bevor sie in reale Sicherheitsvorfälle münden, und in der Lage sind, die Auswirkungen von Sicherheitsvorfällen besser einzudämmen und effizienter zu reagieren. In Ermangelung von Leitlinien auf Unionsebene scheinen mehrere Faktoren einen solchen Wissensaustausch verhindert zu haben, insbesondere die nicht geklärte Vereinbarkeit mit den Wettbewerbs- und Haftungsvorschriften. (68)Die Einrichtungen sollten ermutigt werden, ihre individuellen Kenntnisse und praktischen Erfahrungen auf strategischer, taktischer und operativer Ebene gemeinsam zu nutzen, damit sich ihre Fähigkeit verbessert, Cyberbedrohungen angemessen zu bewerten, zu überwachen, abzuwehren und auf sie zu reagieren. Daher muss dafür gesorgt werden, dass auf Unionsebene Mechanismen für Vereinbarungen über den freiwilligen Informationsaustausch entstehen können. Zu diesem Zweck sollten die Mitgliedstaaten auch einschlägige Einrichtungen, die nicht unter diese Richtlinie fallen, aktiv unterstützen und dazu anhalten, sich an solchen Mechanismen zum Informationsaustausch zu beteiligen. Diese Mechanismen sollten unter uneingeschränkter Einhaltung der Wettbewerbsvorschriften und des Datenschutzrechts der Union eingerichtet werden. (69)Die Verarbeitung personenbezogener Daten durch Einrichtungen, Behörden, CERTs, CSIRTs sowie Anbieter von Sicherheitstechnologien und -diensten sollte im Sinne der Verordnung (EU) 2016/679 ein berechtigtes Interesse des jeweiligen Verantwortlichen darstellen, wie dies für die Gewährleistung der Netz- und Informationssicherheit unb