Preamble: 1

(1)

Im digitalen Zeitalter ist die Informations- und Kommunikationstechnik der Grundstein einer offenen, effizienten und unabhängigen europäischen Verwaltung. Die Cybersicherheitsrisiken werden durch die Weiterentwicklung der Technologie und die zunehmende Komplexität und Vernetzung digitaler Systeme verstärkt, wodurch die Einrichtungen der Union anfälliger für Cyberbedrohungen und Sicherheitsvorfälle werden, was die Aufrechterhaltung ihres Dienstbetriebs und ihre Fähigkeit zur Sicherung ihrer Daten gefährdet. Während die zunehmende Inanspruchnahme von Cloud-Diensten, die allgegenwärtige Nutzung der Informations- und Kommunikationstechnik (im Folgenden „IKT“), der hohe Digitalisierungsgrad, Telearbeit sowie die sich weiterentwickelnde Technologie und Konnektivität zentrale Merkmale aller Tätigkeiten der Einrichtungen der Union sind, wird der digitalen Resilienz noch nicht ausreichend Rechnung getragen.

(2)

Die Cyberbedrohungslange, mit der die Einrichtungen der Union konfrontiert sind, entwickelt sich ständig weiter. Die Taktiken, Techniken und Verfahren, die von den Verursachern der Bedrohungen eingesetzt werden, entwickeln sich ständig weiter, während die wesentlichen Motive für solche Angriffe weitgehend unverändert bleiben — vom Diebstahl wertvoller vertraulicher Informationen über Gewinnerzielung, Manipulation der öffentlichen Meinung bis hin zur Schwächung der digitalen Infrastruktur. Das Tempo, in dem die Verursacher der Bedrohungen ihre Cyberangriffe durchführen, nimmt weiter zu, während ihre Operationen zunehmend ausgefeilt und automatisiert und auf exponierte Angriffsflächen ausgerichtet sind, immer weiter expandieren und rasch Schwachstellen ausnutzen.

(3)

Die IKT-Umgebungen der Einrichtungen der Union sind von gegenseitigen Abhängigkeiten und integrierten Datenströmen gekennzeichnet und ihre Nutzer arbeiten eng zusammen. Wegen dieser Verflechtungen kann jede Störung, auch wenn sie anfänglich auf nur eine einzige Einrichtung der Union beschränkt ist, zu breiteren Kaskadeneffekten führen, die weitreichende und langanhaltende negative Auswirkungen auf andere Einrichtungen der Union haben können. Darüber hinaus sind die IKT-Umgebungen bestimmter Einrichtungen der Union mit den IKT-Umgebungen der Mitgliedstaaten verbunden, was dazu führt, dass ein Sicherheitsvorfall in einer Einrichtung der Union ein Cybersicherheitsrisiko für die IKT-Umgebungen der Mitgliedstaaten darstellt, und umgekehrt. Der Austausch spezifischer Informationen über Sicherheitsvorfälle kann die Aufdeckung ähnlicher Cyberbedrohungen oder Sicherheitsvorfälle, die Mitgliedstaaten betreffen, erleichtern.

(4)

Die Einrichtungen der Union sind attraktive Ziele, die sowohl mit hoch qualifizierten und gut ausgestatteten Angreifern als auch mit anderen Bedrohungen konfrontiert sind. Gleichzeitig gibt es in Bezug auf das Niveau und den Reifegrad der Cyberresilienz und die Fähigkeit, böswillige Cyberaktivitäten zu erkennen und darauf zu reagieren, erhebliche Unterschiede zwischen diesen Einrichtungen. Für das Funktionieren der Einrichtungen der Union ist es daher erforderlich, dass sie ein hohes gemeinsames Cybersicherheitsniveau erreichen, indem Cybersicherheitsmaßnahmen durchgeführt werden, die den ermittelten Cybersicherheitsrisiken angemessen sind, sowie durch Informationsaustausch und Zusammenarbeit.

(5)

Die Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates (2) zielt darauf ab, die Cyberresilienz öffentlicher und privater Einrichtungen, der zuständigen Behörden und Einrichtungen sowie der Union insgesamt weiter zu verbessern und ihre Kapazitäten zur Reaktion auf Sicherheitsvorfälle zu stärken. Daher muss sichergestellt werden, dass die Einrichtungen der Union sich dem anschließen, indem sie Vorschriften festlegen, die mit der Richtlinie (EU) 2022/2555 im Einklang stehen und deren ehrgeizige Ziele widerspiegeln.

(6)

Um ein hohes gemeinsames Cybersicherheitsniveau zu erreichen, ist es erforderlich, dass jede Einrichtung der Union einen internen Rahmen für Risikomanagement, Governance und Kontrolle im Bereich der Cybersicherheit (im Folgenden „Rahmen“) festlegt, der ein wirksames und umsichtiges Management aller Cybersicherheitsrisiken gewährleistet und die Sicherung der Betriebskontinuität und das Krisenmanagement berücksichtigt. In dem Rahmen sollten Cybersicherheitsstrategien, einschließlich Ziele und Prioritäten, für die Sicherheit von Netz- und Informationssystemen festgelegt werden, die die gesamte nicht für Verschlusssachen genutzte IKT-Umgebung abdecken. Der Rahmen sollte auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, Netz- und Informationssysteme und die physische Umgebung dieser Systeme vor Ereignissen wie Diebstahl, Brand, Überschwemmungen, Telekommunikations- oder Stromausfällen oder unbefugtem physischem Zugang zu, Beschädigung von und Eingriffen in Informationen und Informationsverarbeitungsanlagen von Einrichtungen der Union zu schützen, die die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von mittels Netz- und Informationssystemen gespeicherten, übermittelten, verarbeiteten oder zugänglichen Daten beeinträchtigen könnten.

(7)

Zur Bewältigung der in dem Rahmen ermittelten Cybersicherheitsrisiken sollte jede Einrichtung der Union geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen. Diese Maßnahmen sollten sich auf die in dieser Verordnung festgelegten Bereiche und Maßnahmen zum Management von Cybersicherheitsrisiken erstrecken, um die Cybersicherheit jeder Einrichtung der Union zu stärken.

(8)

Die in dem Rahmen ermittelten Anlagen und Cybersicherheitsrisiken sowie die Schlussfolgerungen aus den regelmäßigen Bewertungen des Cybersicherheitsreifegrads sollten in den von jeder Einrichtung der Union erstellten Cybersicherheitsplan einfließen. Der Cybersicherheitsplan sollte die angenommenen Maßnahmen zum Management von Cybersicherheitsrisiken enthalten.

(9)

Da es sich bei der Sicherstellung der Cybersicherheit um einen kontinuierlichen Prozess handelt, sollten die Eignung und Wirksamkeit der gemäß dieser Verordnung ergriffenen Maßnahmen regelmäßig im Lichte der sich verändernden Cybersicherheitsrisiken, Anlagen und Cybersicherheitsreifegrade der Einrichtungen der Union überprüft werden. Der Rahmen sollte regelmäßig und mindestens alle vier Jahre überprüft werden, während der Cybersicherheitsplan alle zwei Jahre oder erforderlichenfalls häufiger, im Anschluss an die Bewertungen des Cybersicherheitsreifegrads oder jeder gründlichen Überprüfung des Rahmens, überarbeitet werden sollte.

(10)

Die von Einrichtungen der Union eingeführten Maßnahmen zum Management von Cybersicherheitsrisiken sollten Strategien umfassen, die darauf abzielen, den Quellcode nach Möglichkeit transparent zu machen, wobei Garantien für die Rechte von Dritten oder von Einrichtungen der Union zu berücksichtigen sind. Diese Strategien sollten in einem angemessenen Verhältnis zum Cybersicherheitsrisiko stehen und zielen darauf ab, die Analyse von Cyberbedrohungen zu erleichtern, ohne jedoch über die geltenden vertraglichen Bedingungen hinaus Offenlegungspflichten oder Rechte auf Zugang zu Code von Dritten zu schaffen.

(11)

Open-Source-Cybersicherheitswerkzeuge und -anwendungen können zu einem höheren Maß an Offenheit beitragen. Offene Standards erleichtern die Interoperabilität zwischen Sicherheitswerkzeugen, was der Sicherheit der Interessenträger zugutekommt. Open-Source-Cybersicherheitswerkzeuge und -anwendungen können von einer größeren Entwicklergemeinschaft profitieren und damit eine Diversifizierung der Anbieter ermöglichen. Open Source kann zu einem transparenteren Verfahren für die Überprüfung von Werkzeugen für die Cybersicherheit und zu einem von der Gemeinschaft gesteuerten Prozess der Erkennung von Schwachstellen führen. Die Einrichtungen der Union sollten daher den Einsatz von Open-Source-Software und offenen Standards fördern können, indem sie Strategien verfolgen, die auf die Nutzung offener Daten und von Open Source als Teil der Sicherheit durch Transparenz abzielen.

(12)

Aufgrund der Unterschiede zwischen den Einrichtungen der Union ist bei der Umsetzung dieser Verordnung Flexibilität erforderlich, da die Lösungen jeweils bedarfsgerecht zugeschnitten sein müssen. Die in dieser Verordnung festgelegten Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau sollten keine Verpflichtungen umfassen, die einen unmittelbaren Eingriff in die Wahrnehmung der Aufgaben der Einrichtungen der Union darstellen oder deren institutionelle Autonomie beeinträchtigen. Daher sollten diese Einrichtungen ihren eigenen Rahmen festlegen und ihre eigenen Maßnahmen zum Management von Cybersicherheitsrisiken und ihre eigenen Cybersicherheitspläne annehmen. Bei der Durchführung solcher Maßnahmen sollten — mit dem Ziel einer ordnungsgemäßen Verwaltung der Ressourcen und einer Kostenoptimierung — bestehende Synergieeffekte zwischen den Einrichtungen der Union gebührend berücksichtigt werden. Ferner sollte gebührend darauf geachtet werden, dass sich die Maßnahmen nicht negativ auf den effizienten Informationsaustausch und die Zusammenarbeit zwischen Einrichtungen der Union sowie zwischen Einrichtungen der Union und den entsprechenden Stellen in den Mitgliedstaaten auswirken.

(13)

Im Interesse einer optimalen Nutzung der Ressourcen sollte in dieser Verordnung die Möglichkeit vorgesehen werden, dass zwei oder mehr Einrichtungen der Union mit ähnlichen Strukturen bei der Durchführung der Bewertungen des Cybersicherheitsreifegrads ihrer jeweiligen Einrichtungen zusammenarbeiten.

(14)

Damit keine unverhältnismäßige finanzielle und administrative Belastung für die Einrichtungen der Union entsteht, sollten die Anforderungen an das Management von Cybersicherheitsrisiken in einem angemessenen Verhältnis zu den Cybersicherheitsrisiken stehen, denen die betreffenden Netz- und Informationssysteme ausgesetzt sind; dabei ist dem neuesten Stand solcher Maßnahmen Rechnung zu tragen. Jede Einrichtung der Union sollte bestrebt sein, einen angemessenen Prozentsatz ihres IKT-Haushalts für die Verbesserung ihres Cybersicherheitsniveaus zuzuweisen; längerfristig sollte ein Richtziel in der Größenordnung von mindestens 10 % angestrebt werden. Bei der Bewertung des Cybersicherheitsreifegrads sollte bewertet werden, ob die Ausgaben der Einrichtung der Union für Cybersicherheit in einem angemessenen Verhältnis zu den Cybersicherheitsrisiken stehen, denen sie ausgesetzt ist. Unbeschadet der Vorschriften über den Jahreshaushaltsplan der Union gemäß den Verträgen sollte die Kommission in ihrem Vorschlag für den ersten Jahreshaushaltsplan, der nach dem Inkrafttreten dieser Verordnung angenommen wird, bei der Bewertung des Haushalts- und Personalbedarfs der Einrichtungen der Union, wie er sich aus ihrem Ausgabenvoranschlag ergibt, den sich aus dieser Verordnung ergebenden Verpflichtungen Rechnung tragen.

(15)

Ein hohes gemeinsames Cybersicherheitsniveau setzt voraus, dass die Cybersicherheit der Aufsicht der höchsten Managementebene der jeweiligen Einrichtung der Union unterstellt wird. Die höchste Managementebene der jeweiligen Einrichtung der Union sollte für die Durchführung dieser Verordnung verantwortlich sein, wozu auch die Festlegung des Rahmens, das Ergreifen von Maßnahmen zum Management von Cybersicherheitsrisiken und die Genehmigung des Cybersicherheitsplans gehört. Die Pflege der Cybersicherheitskultur, d. h. die Cybersicherheit in der täglichen Praxis, ist Bestandteil des Rahmens und der entsprechenden Maßnahmen zum Management von Cybersicherheitsrisiken in allen Einrichtungen der Union.

(16)

Die Sicherheit von Netz- und Informationssystemen, in denen EU-Verschlusssachen (EU-VS) bearbeitet werden, ist von entscheidender Bedeutung. Einrichtungen der Union, die EU-VS bearbeiten, sind verpflichtet, die für den Schutz solcher Informationen geltenden umfassenden Rechtsrahmen, einschließlich spezifischer Verfahren für Governance, Strategien und Risikomanagement, anzuwenden. Netz- und Informationssysteme, in denen EU-VS bearbeitet werden, müssen strengeren Sicherheitsstandards entsprechen als nicht für Verschlusssachen genutzte Netz- und Informationssysteme. Daher sind Netz- und Informationssysteme, in denen EU-VS bearbeitet werden, widerstandsfähiger gegenüber Cyberbedrohungen und Sicherheitsvorfällen. Folglich sollte diese Verordnung nicht für Netz- und Informationssysteme gelten, in denen EU-VS bearbeitet werden, obgleich anerkannt wird, dass es diesbezüglich eines gemeinsamen Rahmens bedarf. Auf ausdrückliches Ersuchen einer Einrichtung der Union sollte das IT-Notfallteam für die Organe, Einrichtungen und sonstigen Stellen der Union (CERT-EU) jedoch in der Lage sein, die jeweilige Einrichtung der Union bei Sicherheitsvorfällen in für Verschlusssachen genutzte IKT-Umgebungen zu unterstützen.

(17)

Die Einrichtungen der Union sollten Cybersicherheitsrisiken im Zusammenhang mit den Beziehungen zu Anbietern und Dienstleistern, einschließlich Anbietern von Datenspeicher- und Datenverarbeitungsdiensten oder verwalteten Sicherheitsdiensten, bewerten und geeignete Maßnahmen ergreifen, um diese Risiken anzugehen. Cybersicherheitsmaßnahmen sollten in Leitlinien oder Empfehlungen des CERT-EU näher ausgeführt werden. Bei der Festlegung von Maßnahmen und der Ausarbeitung von Leitlinien sollten der Stand der Technik und gegebenenfalls einschlägige europäische und internationale Normen sowie das einschlägige Unionsrecht und die einschlägigen Strategien der Union, einschließlich der Bewertungen der Cybersicherheitsrisiken und der Empfehlungen der gemäß Artikel 14 der Richtlinie (EU) 2022/2555 eingesetzten Kooperationsgruppe, wie etwa die koordinierte Risikobewertung der EU zur Cybersicherheit in 5G-Netzen und das EU-Instrumentarium für die 5G-Cybersicherheit, gebührend berücksichtigt werden. Darüber hinaus könnte angesichts der Cyberbedrohungslage und der Bedeutung der Stärkung der Cyberresilienz für die Einrichtungen der Union die Zertifizierung relevanter IKT-Produkte, IKT-Dienste und IKT-Prozesse im Rahmen von gemäß Artikel 49 der Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates (3) angenommener spezifischer europäischer Systeme für die Cybersicherheitszertifizierung vorgeschrieben werden.

(18)

Im Mai 2011 beschlossen die Generalsekretäre der Organe und Einrichtungen der Union die Einrichtung eines Vorbereitungsteams des CERT-EU unter der Aufsicht eines interinstitutionellen Lenkungsausschusses. Im Juli 2012 bestätigten die Generalsekretäre die praktischen Vorkehrungen und vereinbarten, das CERT-EU als ständige Einrichtung beizubehalten; als Beispiel für eine sichtbare interinstitutionelle Zusammenarbeit auf dem Gebiet der Cybersicherheit sollte es weiterhin zur Verbesserung der allgemeinen Sicherheit der IT-Systeme der Organe, Einrichtungen und sonstigen Stellen der Union beitragen. Im September 2012 wurde das CERT-EU als Taskforce der Kommission mit einem interinstitutionellen Mandat eingerichtet. Im Dezember 2017 schlossen die Organe und Einrichtungen der Union eine Interinstitutionelle Vereinbarung über die Organisation und den Betrieb des CERT-EU (4). Diese Verordnung sollte ein umfassendes Regelwerk für die Organisation, die Funktionsweise und den Betrieb des CERT-EU vorsehen. Die Bestimmungen dieser Verordnung haben Vorrang vor den Bestimmungen der im Dezember 2017 geschlossenen Interinstitutionellen Vereinbarung über die Organisation und den Betrieb des CERT-EU.

(19)

Das CERT-EU sollte in „Cybersicherheitsdienst für die Organe, Einrichtungen und sonstigen Stellen der Union“ umbenannt werden; die Kurzbezeichnung „CERT-EU“ sollte jedoch aufgrund ihres Wiedererkennungswerts beibehalten werden.

(20)

Neben den zusätzlichen Aufgaben und der erweiterten Rolle, die für das CERT-EU vorgesehen werden, wird mit dieser Verordnung der Interinstitutionelle Cybersicherheitsbeirat (Interinstitutional Cybersecurity Board— IICB) eingerichtet, um ein hohes gemeinsames Cybersicherheitsniveau der Einrichtungen der Union zu fördern. Der IICB sollte eine ausschließliche Rolle bei der Überwachung und Unterstützung der Umsetzung dieser Verordnung durch die Einrichtungen der Union und bei der Beaufsichtigung der Umsetzung der allgemeinen Prioritäten und Ziele des CERT-EU sowie bei der Festlegung strategischer Leitlinien für das CERT-EU übernehmen. In dem IICB sollte daher die Vertretung der Organe der Union gewährleistet sein, und über das Netzwerk der Agenturen der Union (EUAN) sollten ihm auch Vertreter von Organen, Einrichtungen und sonstigen Stellen der Union angehören. Die Organisation und die Funktionsweise des IICB sollten durch seine interne Geschäftsordnung weiter geregelt werden, die eine weitere Spezifizierung regelmäßiger Sitzungen des IICB umfassen kann, einschließlich jährlicher Treffen der politischen Ebene, bei denen Vertreter der höchsten Managementebene jedes Mitglieds des IICB es dem IICB ermöglichen würden, strategische Diskussionen zu führen und strategische Leitlinien für das IICB vorzugeben. Darüber hinaus sollte das IICB einen Exekutivausschuss einsetzen, der es bei seiner Arbeit unterstützt, und ihm einige seiner Aufgaben und Befugnisse übertragen können, insbesondere in Bezug auf Aufgaben, die spezifisches Fachwissen seiner Mitglieder erfordern, z. B. die Billigung des Dienstleistungskatalogs und etwaiger späterer Aktualisierungen desselben, Vorkehrungen für Leistungsvereinbarungen, Bewertungen von Dokumenten und Berichten, die dem IICB von den Einrichtungen der Union gemäß dieser Verordnung vorgelegt werden, oder Aufgaben im Zusammenhang mit der Ausarbeitung von Beschlüssen über Compliance-Maßnahmen des IICB und der Überwachung ihrer Umsetzung. Der IICB sollte die Geschäftsordnung sowie die Aufgaben und Befugnisse des Exekutivausschusses festlegen.

(21)

Ziel des IICB ist es, die Einrichtungen der Union dabei zu unterstützen, ihre jeweilige Cybersicherheitslage durch die Durchführung dieser Verordnung zu verbessern. Zur Unterstützung der Einrichtungen der Union sollte der IICB der Leitung des CERT-EU Leitlinien an die Hand geben, eine mehrjährige Strategie zur Erhöhung des Cybersicherheitsniveaus in den Einrichtungen der Union annehmen, die Methodik und andere Aspekte freiwilliger Peer-Reviews festlegen und die Einsetzung einer informellen Gruppe lokaler Cybersicherheitsbeauftragter erleichtern, die von der Agentur der Europäischen Union für Cybersicherheit (ENISA) unterstützt wird, um bewährte Verfahren und Informationen im Zusammenhang mit der Durchführung dieser Verordnung auszutauschen.

(22)

Um in allen Einrichtungen der Union ein hohes Cybersicherheitsniveau zu erreichen, sollten innerhalb des IICB drei vom EUAN benannte Vertreter die Interessen der Organe, Einrichtungen und sonstigen Stellen der Union, die ihre eigene IKT-Umgebung betreiben, vertreten. Die Sicherheit der Verarbeitung personenbezogener Daten und damit auch deren Cybersicherheit sind ein Grundstein des Datenschutzes. Angesichts der Synergieeffekte zwischen Datenschutz und Cybersicherheit sollte der Europäische Datenschutzbeauftragte in seiner Eigenschaft als Einrichtung der Union, die dieser Verordnung unterliegt und über spezifisches Fachwissen im Bereich des Datenschutzes, einschließlich der Sicherheit elektronischer Kommunikationsnetze, verfügt, im IICB vertreten sein. In Anbetracht der Bedeutung von Innovation und Wettbewerbsfähigkeit im Bereich der Cybersicherheit sollte das Europäische Kompetenzzentrum für Cybersicherheit in Industrie, Technologie und Forschung im IICB vertreten sein. Angesichts der Rolle der ENISA als Kompetenzzentrum für Cybersicherheit und der Unterstützung, die die ENISA leistet, und angesichts der Bedeutung der Cybersicherheit von Weltrauminfrastrukturen und -diensten der Union sollten die ENISA und die Agentur der Europäischen Union für das Weltraumprogramm im IICB vertreten sein. Angesichts der Rolle, die dem CERT-EU im Rahmen dieser Verordnung übertragen wird, sollte die Leitung des CERT-EU vom Vorsitzenden des IICB zu allen Sitzungen des IICB eingeladen werden, es sei denn, der IICB erörtert Fragen, die unmittelbar die Leitung des CERT-EU betreffen.

(23)

Der IICB sollte die Einhaltung dieser Verordnung sowie die Umsetzung von Leitlinien und Empfehlungen und von Aufrufen zum Tätigwerden überwachen. Der IICB sollte in technischen Fragen von fachlichen Beratungsgruppen unterstützt werden, deren Zusammensetzung im Ermessen des IICB liegt. Bei Bedarf sollten diese fachlichen Beratungsgruppen eng mit dem CERT-EU, den Einrichtungen der Union sowie mit anderen Interessenträgern zusammenarbeiten.

(24)

Stellt der IICB fest, dass eine Einrichtung der Union diese Verordnung oder gemäß dieser Verordnung erlassene Leitlinien, Empfehlungen oder Aufrufe zum Tätigwerden nicht wirksam durchgeführt bzw. umgesetzt hat, so sollte der IICB unbeschadet der internen Verfahren der betreffenden Einrichtung der Union Compliance-Maßnahmen treffen können. Der IICB sollte die Compliance-Maßnahmen schrittweise anwenden, d. h., er sollte zunächst die am wenigsten strenge Maßnahme — nämlich eine mit Gründen versehene Stellungnahme — treffen und — nur wenn erforderlich — immer strengere Maßnahmen bis hin zu der schwerwiegendsten Maßnahme — nämlich einer Empfehlung zur vorübergehenden Aussetzung der Datenübermittlung an die betreffende Einrichtung der Union — ergreifen. Eine solche Empfehlung sollte nur in Ausnahmefällen abgegeben werden, in denen die betreffende Einrichtung der Union langfristig, vorsätzlich wiederholt oder in schwerwiegender Weise gegen diese Verordnung verstößt.

(25)

Eine mit Gründen versehene Stellungnahme ist die am wenigsten strenge Maßnahme zur Behebung festgestellter Mängel bei der Durchführung dieser Verordnung. Der IICB sollte im Anschluss an eine mit Gründen versehene Stellungnahme die Möglichkeit haben, Leitlinien abzugeben, um die Einrichtung der Union dabei zu unterstützen, dafür zu sorgen, dass ihr Rahmen, ihre Maßnahmen zum Management von Cybersicherheitsrisiken, ihr Cybersicherheitsplan und ihre Berichterstattung mit dieser Verordnung im Einklang stehen; danach sollte er die Möglichkeit haben, eine Verwarnung auszusprechen, in der die Einrichtung der Union aufgefordert wird, die festgestellten Mängel innerhalb einer bestimmten Frist zu beheben. Wurden die in der Verwarnung festgestellten Mängel nicht ausreichend behoben, so sollte der IICB die Möglichkeit haben, eine begründete Mitteilung abzugeben.

(26)

Der IICB sollte die Durchführung eines Audits bei einer Einrichtung der Union empfehlen können. Die Einrichtung der Union sollte zu diesem Zweck ihre interne Auditfunktion nutzen können. Der IICB sollte ferner verlangen können, dass ein Audit von einem externen Prüfungsdienst — auch von einem gemeinsam vereinbarten privaten Dienstleister — durchgeführt wird.

(27)

In Ausnahmefällen, in denen eine Einrichtung der Union langfristig, vorsätzlich, wiederholt oder in schwerwiegender Weise gegen diese Verordnung verstößt, sollte der IICB als letztes Mittel eine Empfehlung an alle Mitgliedstaaten und Einrichtungen der Union zur vorübergehenden Aussetzung der Datenübermittlung an diese Einrichtung der Union richten können, die so lange gilt, bis die Einrichtung der Union nicht mehr gegen diese Verordnung verstößt. Eine solche Empfehlung sollte über geeignete und sichere Kommunikationskanäle übermittelt werden.

(28)

Um die ordnungsgemäße Durchführung dieser Verordnung sicherzustellen, sollte der IICB, wenn er der Auffassung ist, dass eine anhaltende Verletzung gegen diese Verordnung durch eine Einrichtung der Union unmittelbar durch Handlungen oder Unterlassungen eines Mitglieds seines Personals — einschließlich der obersten Führungsebene — verursacht wurde, die betreffende Einrichtung der Union auffordern, im Einklang mit den Vorschriften und Verfahren des Statuts der Beamten der Europäischen Union und den Beschäftigungsbedingungen für die sonstigen Bediensteten der Union, die in der Verordnung (EWG, Euratom, EGKS) Nr. 259/68 des Rates (5) (im Folgenden „Statut“) festgelegt sind, sowie im Einklang mit sonstigen geltenden Vorschriften und Verfahren geeignete Maßnahmen zu ergreifen und disziplinarrechtliche Maßnahmen in Erwägung zu ziehen.

(29)

Das CERT-EU sollte zur Sicherheit der IKT-Umgebung aller Einrichtungen der Union beitragen. Bei der Prüfung der Frage, ob auf Ersuchen einer Einrichtung der Union technische Beratung oder Beiträge zu relevanten politischen Fragen geleistet werden sollen, sollte das CERT-EU sicherstellen, dass dies die Erfüllung der übrigen ihm gemäß dieser Verordnung übertragenen Aufgaben nicht behindert. Das CERT-EU sollte auf Seiten der Einrichtungen der Union als Äquivalent des für die Zwecke der koordinierten Offenlegung von Schwachstellen gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 benannten Koordinators fungieren.

(30)

Das CERT-EU sollte die Umsetzung von Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau durch Vorschläge für Leitlinien und Empfehlungen an den IICB oder durch Aufrufe zum Tätigwerden unterstützen. Diese Leitlinien und Empfehlungen sollten vom IICB genehmigt werden. Wenn erforderlich, sollte das CERT-EU Aufrufe zum Tätigwerden herausgeben, in denen dringende Sicherheitsmaßnahmen beschrieben werden, zu deren Ergreifung innerhalb einer vorgegebenen Frist die Einrichtungen der Union dringend aufgefordert werden. Der IICB sollte das CERT-EU anweisen, einen Vorschlag für Leitlinien oder für eine Empfehlung oder einen Aufruf zum Tätigwerden vorzulegen, zurückzuziehen oder zu ändern.

(31)

Das CERT-EU sollte zudem die Rolle übernehmen, die ihm nach der Richtlinie (EU) 2022/2555 bei der Zusammenarbeit und beim Informationsaustausch mit dem gemäß Artikel 15 jener Richtlinie errichteten Netzwerk der Computer-Notfallteams (CSIRTs-Netzwerk) zukommt. Darüber hinaus sollte das CERT-EU im Einklang mit der Empfehlung (EU) 2017/1584 der Kommission (6) mit den einschlägigen Interessenträgern zusammenarbeiten und sich bezüglich Reaktionsmaßnahmen mit diesen abstimmen. Um zu einem hohen Cybersicherheitsniveau in der gesamten Union beizutragen, sollte das CERT-EU Informationen zu den einzelnen Sicherheitsvorfällen an die entsprechenden Stellen in den Mitgliedstaaten weiterleiten. Das CERT-EU sollte vorbehaltlich der vorherigen Zustimmung durch den IICB auch mit anderen öffentlichen und privaten entsprechenden Stellen, einschließlich der Nordatlantikvertrags-Organisation, zusammenarbeiten.

(32)

Bei der Unterstützung der operativen Cybersicherheit sollte das CERT-EU das verfügbare Fachwissen der ENISA im Wege der strukturierten Zusammenarbeit gemäß der Verordnung (EU) 2019/881 nutzen. Für die Festlegung der praktischen Aspekte einer solchen Kooperation und zur Vermeidung von Doppelarbeit sollten gegebenenfalls gesonderte Vereinbarungen zwischen den beiden Stellen getroffen werden. Das CERT-EU sollte bei der Analyse der Cyberbedrohungslage mit der ENISA zusammenarbeiten und der ENISA seinen Bericht zur Bedrohungslage regelmäßig übermitteln.

(33)

Das CERT-EU sollte mit den einschlägigen Cybersicherheitsgemeinschaften in der Union und ihren Mitgliedstaaten zusammenarbeiten und Informationen austauschen können, um die operative Zusammenarbeit zu fördern und die bestehenden Netzwerke in die Lage zu versetzen, ihr volles Potenzial für den Schutz der Union zu entfalten.

(34)

Da die Dienste und Aufgaben des CERT-EU im Interesse der Einrichtungen der Union liegen, sollte jede Einrichtung der Union, die IKT-Ausgaben tätigt, einen angemessenen Beitrag für diese Dienste und Aufgaben leisten. Diese Beiträge lassen die Haushaltsautonomie der Einrichtungen der Union unberührt.

(35)

Viele Cyberangriffe sind Teil umfassenderer Operationen, die auf Gruppen von Einrichtungen der Union oder Interessengemeinschaften, zu denen auch die Einrichtungen der Union gehören, ausgerichtet sind. Um eine proaktive Erkennung von Sicherheitsvorfällen, Maßnahmen zu ihrer Bewältigung und Eindämmung und die Bewältigung ihrer Folgen zu ermöglichen, sollten die Einrichtungen der Union die Möglichkeit haben, das CERT-EU über Sicherheitsvorfälle, Cyberbedrohungen, Schwachstellen und Beinahe-Vorfälle zu informieren und geeignete technische Einzelheiten zu übermitteln, die die Erkennung bzw. Eindämmung sowie die Bewältigung ähnlicher Sicherheitsvorfälle, Cyberbedrohungen, Schwachstellen und Beinahe-Vorfälle in anderen Einrichtungen der Union ermöglichen. Nach demselben Ansatz wie in der Richtlinie (EU) 2022/2555 sollten Einrichtungen der Union verpflichtet sein, innerhalb von 24 Stunden nachdem sie von einem erheblichen Sicherheitsvorfall Kenntnis erhalten haben eine Frühwarnung an das CERT-EU zu übermitteln. Dieser Informationsaustausch sollte es dem CERT-EU ermöglichen, die Informationen an andere Einrichtungen der Union sowie an geeignete entsprechende Stellen weiterzugeben, um dazu beizutragen, die IKT-Umgebungen der Einrichtungen der Union und die IKT-Umgebungen der den Einrichtungen der Union entsprechenden Stellen vor ähnlichen Sicherheitsvorfällen zu schützen.

(36)

Mit dieser Verordnung wird ein mehrstufiger Ansatz für die Meldung erheblicher Sicherheitsvorfälle festgelegt, um die richtige Balance herzustellen zwischen einer zeitnahen Meldung einerseits, die einer potenziellen Ausbreitung erheblicher Sicherheitsvorfälle entgegenwirkt und den Einrichtungen der Union die Möglichkeit bietet, Unterstützung zu erhalten, und einer detaillierten Meldung andererseits, bei der aus individuellen Sicherheitsvorfällen wichtige Lehren gezogen werden und einzelne Einrichtungen der Union ihre Cyberresilienz im Laufe der Zeit verbessern können und zu einer Verbesserung ihrer Cybersicherheitslage insgesamt beigetragen wird. Diesbezüglich sollte diese Verordnung die Meldung von Sicherheitsvorfällen umfassen, die — auf Grundlage einer von der betreffenden Einrichtung der Union durchgeführten ersten Bewertung — schwerwiegende Störungen des Betriebs der betreffenden Einrichtung der Union oder finanzielle Verluste für die betreffende Einrichtung der Union verursachen könnten oder anderen natürlichen oder juristischen Personen erheblichen immateriellen Schaden verursachen könnten. Bei dieser ersten Bewertung sollten unter anderem die betroffenen Netz- und Informationssysteme — insbesondere ihre Bedeutung für den Betrieb der Einrichtung der Union —, die Schwere und die technischen Merkmale einer Cyberbedrohung und alle zugrunde liegenden Schwachstellen, die ausgenutzt werden, sowie die Erfahrungen der Einrichtung der Union mit ähnlichen Sicherheitsvorfällen berücksichtigt werden. Indikatoren wie das Ausmaß, in dem der Betrieb der Einrichtung der Union beeinträchtigt wird, die Dauer eines Sicherheitsvorfalls oder die Zahl der betroffenen natürlichen oder juristischen Personen könnten eine wichtige Rolle bei der Feststellung spielen, ob die Betriebsstörung schwerwiegend ist.

(37)

Da die Infrastruktur und die Netz- und Informationssysteme der betreffenden Einrichtung der Union und des Mitgliedstaats, in dem diese Einrichtung ansässig ist, miteinander verbunden sind, ist es von entscheidender Bedeutung, dass dieser Mitgliedstaat unverzüglich von einem erheblichen Sicherheitsvorfall innerhalb dieser Einrichtung der Union in Kenntnis gesetzt wird. Zu diesem Zweck sollte die betroffene Einrichtung der Union alle einschlägigen entsprechenden Stellen der Mitgliedstaaten, die gemäß den Artikeln 8 und 10 der Richtlinie (EU) 2022/2555 benannt oder eingerichtet wurden, über das Auftreten eines erheblichen Sicherheitsvorfalls informieren, den sie dem CERT-EU meldet. Wenn das CERT-EU Kenntnis von einem erheblichen Sicherheitsvorfall in einem Mitgliedstaat erhält, sollte es unverzüglich alle einschlägigen entsprechenden Stellen dieses Mitgliedstaats unterrichten.

(38)

Es sollte ein Mechanismus eingeführt werden, der im Falle schwerwiegender Sicherheitsvorfälle einen wirksamen Informationsaustausch, eine wirksame Koordinierung und eine wirksame Zusammenarbeit zwischen den Einrichtungen der Union gewährleistet, einschließlich einer klaren Festlegung der Aufgaben und Zuständigkeiten der beteiligten Einrichtungen der Union. Der Vertreter der Kommission im IICB sollte vorbehaltlich des Plans für das Cyberkrisenmanagement als Anlaufstelle fungieren, um den Austausch einschlägiger Informationen über schwerwiegende Sicherheitsvorfälle mit dem europäischen Netzwerk der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe) als Beitrag zur gemeinsamen Lageerfassung zu erleichtern. Die Rolle des Vertreters der Kommission im IICB als Anlaufstelle sollte die spezifische und gesonderte Rolle der Kommission in EU-CyCLONe gemäß Artikel 16 Absatz 2 der Richtlinie (EU) 2022/2555 unberührt lassen.

(39)

Für jede Verarbeitung personenbezogener Daten gemäß dieser Verordnung gilt die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (7). Die Verarbeitung personenbezogener Daten könnte in Bezug auf Maßnahmen erfolgen, die im Zusammenhang mit dem Management von Cybersicherheitsrisiken, dem Umgang mit Schwachstellen und der Bewältigung von Sicherheitsvorfällen, dem Informationsaustausch über Sicherheitsvorfälle, Cyberbedrohungen und Schwachstellen sowie der Koordinierung der Reaktion auf Sicherheitsvorfälle und der entsprechenden Zusammenarbeit ergriffen werden. Solche Maßnahmen könnten die Verarbeitung bestimmter Kategorien personenbezogener Daten erfordern — etwa IP-Adressen, URL-Adressen, Domainnamen, E-Mail-Adressen, organisatorische Rollen der betroffenen Person, Zeitstempel, Themen von E-Mails oder Dateinamen. Alle gemäß dieser Verordnung ergriffenen Maßnahmen sollten mit dem Rahmen für Datenschutz und den Schutz der Privatsphäre im Einklang stehen, und die Einrichtungen der Union, das CERT-EU und gegebenenfalls der IICB sollten alle einschlägigen technischen und organisatorischen Schutzvorkehrungen ergreifen, um diesen Einklang in verantwortungsvoller Weise herzustellen.

(40)

Mit dieser Verordnung wird im Einklang mit Artikel 5 Absatz 1 Buchstabe b der Verordnung (EU) 2018/1725 die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Einrichtungen der Union, das CERT-EU und gegebenenfalls den IICB zum Zwecke der Wahrnehmung ihrer Aufgaben und Pflichten gemäß dieser Verordnung geschaffen. Das CERT-EU kann gemäß der Verordnung (EU) 2018/1725 je nach der Aufgabe, die es wahrnimmt, als Auftragsverarbeiter oder Verantwortlicher fungieren.

(41)

In bestimmten Fällen kann es erforderlich sein, dass Einrichtungen der Union und das CERT-EU besondere Kategorien personenbezogener Daten gemäß Artikel 10 Absatz 1 der Verordnung (EU) 2018/1725 verarbeiten, um ihren Verpflichtungen aus dieser Verordnung zur Sicherstellung eines hohen Cybersicherheitsniveaus nachzukommen, insbesondere im Zusammenhang mit dem Umgang mit Schwachstellen und der Bewältigung von Sicherheitsvorfällen. Mit dieser Verordnung wird die Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten durch Einrichtungen der Union und das CERT-EU gemäß Artikel 10 Absatz 2 Buchstabe g der Verordnung (EU) 2018/1725 geschaffen. Die Verarbeitung besonderer Kategorien personenbezogener Daten im Rahmen dieser Verordnung sollte unbedingt in einem angemessenen Verhältnis zu dem verfolgten Ziel stehen. Vorbehaltlich der in Artikel 10 Absatz 2 Buchstabe g der genannten Verordnung festgelegten Bedingungen sollten die Einrichtungen der Union und das CERT-EU solche Daten nur im erforderlichen Umfang und nur dann verarbeiten können, wenn dies in dieser Verordnung ausdrücklich vorgesehen ist. Bei der Verarbeitung besonderer Kategorien personenbezogener Daten sollten die Einrichtungen der Union und das CERT-EU den Wesensgehalt des Rechts auf Datenschutz wahren und geeignete und spezifische Maßnahmen zum Schutz der Grundrechte und Interessen der betroffenen Personen vorsehen.

(42)

Gemäß Artikel 33 der Verordnung (EU) 2018/1725 sollten die Einrichtungen der Union und das CERT-EU unter Berücksichtigung des Stands der Technik, der Durchführungskosten und der Art, des Umfangs, des Kontexts und des Zwecks der Verarbeitung sowie der unterschiedlichen Wahrscheinlichkeit des Eintretens von Risiken für die Rechte und Freiheiten natürlicher Personen und deren Schwere geeignete technische und organisatorische Maßnahmen umsetzen, um ein angemessenes Maß an Sicherheit personenbezogener Daten sicherzustellen, wie etwa die Gewährung beschränkter Zugriffsrechte nach dem Grundsatz „Kenntnis nur, wenn nötig“, die Anwendung der Grundsätze des Prüfpfads, die Einrichtung einer Überwachungskette, die Speicherung inaktiver Daten in einer kontrollierten und überprüfbaren Umgebung, standardisierte betriebliche Verfahren und Maßnahmen zum Schutz der Privatsphäre wie Pseudonymisierung oder Verschlüsselung. Diese Maßnahmen sollten nicht in einer Weise umgesetzt werden, die die Zwecke der Bewältigung von Sicherheitsvorfällen und die Integrität der Beweismittel beeinträchtigt. Wenn eine Einrichtung der Union oder das CERT-EU personenbezogene Daten im Zusammenhang mit einem Sicherheitsvorfall, einschließlich besonderer Kategorien personenbezogener Daten, für die Zwecke dieser Verordnung an eine entsprechende Stelle oder einen Partner übermittelt, sollte die Übermittlung mit der Verordnung (EU) 2018/1725 im Einklang stehen. Werden besondere Kategorien personenbezogener Daten an Dritte übermittelt, sollten die Einrichtungen der Union und das CERT-EU sicherstellen, dass der jeweilige Dritte Maßnahmen zum Schutz personenbezogener Daten anwendet, die dem Niveau der Verordnung (EU) 2018/1725 entsprechen.

(43)

Für die Zwecke dieser Verordnung verarbeitete personenbezogene Daten sollten nur so lange gespeichert werden, wie dies gemäß der Verordnung (EU) 2018/1725 erforderlich ist. Einrichtungen der Union und gegebenenfalls das CERT-EU, das als Verantwortlicher fungiert, sollten Speicherfristen festlegen, die auf das zur Erreichung der festgelegten Zwecke erforderliche Maß beschränkt sind. Insbesondere in Bezug auf personenbezogene Daten, die für die Bewältigung von Sicherheitsvorfällen erhoben werden, sollten die Einrichtungen der Union und das CERT-EU zwischen personenbezogenen Daten, die zur Erkennung einer Cyberbedrohung in ihren IKT-Umgebungen erhoben werden, um einen Sicherheitsvorfall zu verhindern, und personenbezogenen Daten, die zur Eindämmung eines Sicherheitsvorfalls, zur Reaktion darauf und zur Bewältigung seiner Folgen erhoben werden, unterscheiden. Bei der Erkennung einer Cyberbedrohung ist zu berücksichtigen, wie lange der Verursacher einer Bedrohung in einem System unentdeckt bleiben kann. Zur Eindämmung eines Sicherheitsvorfalls, zur Reaktion darauf und zur Bewältigung seiner Folgen ist zu prüfen, ob die personenbezogenen Daten erforderlich sind, um einen wiederkehrenden Sicherheitsvorfall oder einen Sicherheitsvorfall ähnlicher Art, bei dem ein Zusammenhang nachgewiesen werden konnte, aufzuspüren und zu bewältigen.

(44)

Der Umgang der Einrichtungen der Union und des CERT-EU mit Informationen sollte im Einklang mit den geltenden Vorschriften über die Informationssicherheit erfolgen. Die Aufnahme der Sicherheit des Personals in die Maßnahmen zum Management von Cybersicherheitsrisiken sollte auch mit den geltenden Vorschriften im Einklang stehen.

(45)

Für die Zwecke des Informationsaustauschs werden sichtbare Kennzeichnungen verwendet, um anzuzeigen, dass die Weitergabebeschränkungen von den Empfängern der Informationen auf der Grundlage von insbesondere Geheimhaltungsvereinbarungen oder informellen Geheimhaltungsvereinbarungen wie dem Ampelprotokoll („Traffic Light Protocol“) oder anderen eindeutigen Hinweisen seitens der Quelle anzuwenden sind. Das Ampelprotokoll ist als ein Mittel zu verstehen, um Informationen über etwaige Einschränkungen in Bezug auf die weitere Verbreitung von Informationen bereitzustellen. Es wird in fast allen CSIRTs und in einigen Informationsanalyse- und Informationsaustauschzentren eingesetzt.

(46)

Diese Verordnung sollte im Hinblick auf künftige Verhandlungen über mehrjährige Finanzrahmen, aufgrund derer weitere Beschlüsse im Zusammenhang mit der Arbeitsweise und der institutionellen Rolle des CERT-EU — einschließlich der möglichen Einrichtung des CERT-EU als Amt der Union — gefasst werden können, regelmäßig evaluiert werden.

(47)

Der IICB sollte die Durchführung dieser Verordnung mit Unterstützung des CERT-EU überprüfen und bewerten und der Kommission über seine Feststellungen Bericht erstatten. Aufbauend auf diesem Bericht sollte die Kommission dem Europäischen Parlament, dem Rat, dem Europäischen Wirtschafts- und Sozialausschuss und dem Ausschuss der Regionen regelmäßig Bericht erstatten. In diesem Bericht, an dem auch der IICB mitwirkt, sollte bewertet werden, ob Netz- und Informationssysteme, in denen EU-VS bearbeitet werden, in den Anwendungsbereich dieser Verordnung aufgenommen werden sollten, insbesondere wenn es keine für alle Einrichtungen der Union geltenden gemeinsamen Vorschriften für die Informationssicherheit gibt.

(48)

Nach dem Grundsatz der Verhältnismäßigkeit ist es erforderlich und angemessen, zur Erreichung des grundlegenden Ziels, ein hohes gemeinsames Cybersicherheitsniveau in den Einrichtungen der Union zu erreichen, für die Einrichtungen der Union Vorschriften über die Cybersicherheit festzulegen. Die vorliegende Verordnung geht entsprechend Artikel 5 Absatz 4 des Vertrags über die Europäische Union nicht über das zur Erreichung dieses Ziels erforderliche Maß hinaus.

(49)

Die vorliegende Verordnung trägt dem Umstand Rechnung, dass sich die Einrichtungen der Union in Bezug auf ihre Größe und ihre Kapazitäten, einschließlich ihrer finanziellen und personellen Ressourcen, unterscheiden.

(50)

Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 angehört und hat am 17. Mai 2022 eine Stellungnahme abgegeben (8) —