Für einen individuellen Ausdruck passen Sie bitte die Einstellungen in der Druckvorschau Ihres Browsers an. Regelwerk, EU 2017, Wirtschaft - EU Bund

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 292,

in Erwägung nachstehender Gründe:

(1) Die Nutzung und Abhängigkeit von Informations- und Kommunikationstechnologien sind von grundlegender Bedeutung in allen Wirtschaftssektoren, da Unternehmen und Bürger stärker als je zuvor branchen- und grenzübergreifend miteinander vernetzt und voneinander abhängig sind. Ein Cybersicherheitsvorfall, von dem Organisationen in mehr als einem Mitgliedstaat oder sogar in der gesamten Union betroffen sind und der potenziell schwerwiegende Störungen des Binnenmarktes sowie generell der Netz- und Informationssysteme, auf die sich Wirtschaft, Demokratie und Gesellschaft der Union stützen, mit sich bringen würde, ist ein Szenario, auf das die Mitgliedstaaten und die EU-Organe gut vorbereitet sein müssen.

(2) Ein Cybersicherheitsvorfall kann als Krise auf Unionsebene erachtet werden, wenn die durch den Vorfall verursachte Störung zu umfangreich ist, als dass ein betroffener Mitgliedstaat sie alleine bewältigen könnte, oder wenn sie in zwei oder mehr Mitgliedstaaten zu so weitreichenden Auswirkungen von technischer oder politischer Bedeutung führt, dass eine zeitnahe Koordinierung und Reaktion auf der politischen Ebene der Union erforderlich ist.

(3) Cybersicherheitsvorfälle können eine umfassendere Krise auslösen, die sich auf Tätigkeitsbereiche jenseits der Netz- und Informationssysteme und Kommunikationsnetze auswirkt; eine angemessene Reaktion muss sich sowohl auf Cyber-Maßnahmen als auch auf andere Maßnahmen zur Eindämmung der Folgen stützen.

(4) Cybersicherheitsvorfälle sind unvorhersehbar und ereignen bzw. entwickeln sich häufig innerhalb sehr kurzer Zeiträume, sodass die betroffenen Organisationen und die für die Reaktion und die Begrenzung der Auswirkungen des Vorfalls Zuständigen ihre Reaktionen rasch koordinieren müssen. Darüber hinaus treten Cybersicherheitsvorfälle oft nicht innerhalb eines begrenzten geografischen Gebiets auf, sondern können sich gleichzeitig in vielen Ländern ereignen oder sich rasch in anderen Ländern ausbreiten.

(5) Eine wirksame Reaktion auf große Cybersicherheitsvorfälle und -krisen auf EU-Ebene erfordert die rasche und wirksame Zusammenarbeit aller einschlägigen Interessenträger. Sie beruht zudem auf der Abwehrbereitschaft und den Fähigkeiten der einzelnen Mitgliedstaaten sowie auf koordinierten gemeinsamen Maßnahmen, die durch die Kapazitäten der Union unterstützt werden. Um rechtzeitig und wirksam auf Vorfälle reagieren zu können, müssen daher im Voraus festgelegte und, soweit möglich, eingespielte Verfahren und Mechanismen der Zusammenarbeit mit klar definierten Rollen und Zuständigkeiten der wichtigsten Akteure auf nationaler und auf Unionsebene bestehen.

(6) In seinen Schlussfolgerungen ¹ über den Schutz kritischer Informationsinfrastrukturen vom 27. Mai 2011 forderte der Rat die EU-Mitgliedstaaten auf, "die Zusammenarbeit zwischen den Mitgliedstaaten zu fördern und - gestützt auf die nationalen Erfahrungen und Ergebnisse bei der Krisenbewältigung und in Zusammenarbeit mit der ENISa - bei der Ausarbeitung eines Europäischen Mechanismus zur Zusammenarbeit bei Netzstörungen mitzuwirken, der im Rahmen der nächsten "CyberEurope"-Übung im Jahr 2012 getestet werden sollte".

(7) Die Mitteilung aus dem Jahr 2016 "Stärkung der Abwehrfähigkeit Europas im Bereich der Cybersicherheit und Förderung einer wettbewerbsfähigen und innovativen Cybersicherheitsbranche" ² hat die Mitgliedstaaten dazu ermutigt, die Kooperationsmechanismen der NIS-Richtlinie ³ bestmöglich zu nutzen und die grenzüberschreitende Zusammenarbeit im Bereich der Abwehrbereitschaft gegenüber großen Cybervorfällen zu intensivieren. Außerdem würde die Abwehrbereitschaft durch einen koordinierten Ansatz für die Zusammenarbeit in Krisensituationen, der die verschiedenen Elemente des Cyberökosystems einbezieht, gestärkt. Dieser sollte in einem "Konzeptentwurf" festgehalten werden, der auch Synergien und Kohärenz mit bestehenden Krisenbewältigungsmechanismen gewährleisten sollte.

(8) In den Schlussfolgerungen des Rates ⁴ zur vorstehend genannten Mitteilung forderten die Mitgliedstaaten die Kommission auf, einen solchen Konzeptentwurf zur Prüfung durch die NIS-Leitungsgremien und andere einschlägige Akteure vorzulegen. In der NIS-Richtlinie ist jedoch kein Rahmen für die Zusammenarbeit der Union bei großen Cybersicherheitsvorfällen und -krisen vorgesehen.

(9) Die Kommission konsultierte die Mitgliedstaaten in zwei gesonderten Konsultationsworkshops in Brüssel am 5. April und 4. Juli 2017, an denen Vertreter der Mitgliedstaaten aus den IT-Noteinsatzteams (Computer Security Incident Response Teams, CSIRT), der durch die NIS-Richtlinie eingerichteten Kooperationsgruppe und der Horizontalen Gruppe "Fragen des Cyberraums" des Rates sowie Vertreter des Europäischen Auswärtigen Dienstes (EAD), der ENISA, von Europol/EC3 und des Generalsekretariats des Rates teilnahmen.

(10) Der im Anhang