Art. 15 32017D0046
Die Generaldirektion Informatik ist für die Bereitstellung der hauptsächlichen operativen Reaktionsfähigkeit auf IT-Sicherheitsvorfälle in der Europäischen Kommission zuständig.
Die Generaldirektion Humanressourcen und Sicherheit wirkt als Beteiligte an der Reaktion auf IT-Sicherheitsvorfälle mit und hat dabei folgende Aufgaben:
Sie hat ein Zugriffsrecht auf zusammengefasste Informationen über alle Vorfälle und erhält auf Anfrage Zugang zu den vollständigen Aufzeichnungen;
sie wirkt in Krisenmanagementgruppen für IT-Sicherheitsvorfälle und in IT-Sicherheitsnotverfahren mit;
sie ist für die Beziehungen zu Strafverfolgungsbehörden und Nachrichtendiensten zuständig;
sie führt forensische Cybersicherheitsanalysen gemäß Artikel 11 des Beschlusses (EU, Euratom) 2015/443 durch;
sie entscheidet über die Notwendigkeit der Einleitung einer förmlichen Untersuchung;
sie unterrichtet die Generaldirektion Informatik über alle IT-Sicherheitsvorfälle, aus denen sich ein Risiko für andere KIS ergeben könnte.
Zwischen der Generaldirektion Informatik und der Generaldirektion Humanressourcen und Sicherheit findet eine regelmäßige Kommunikation zum Austausch von Informationen und zur Koordinierung des Umgangs mit Sicherheitsvorfällen, insbesondere IT-Sicherheitsvorfällen, die eine förmliche Untersuchung erforderlich machen, statt.
Die Koordinierungsdienste, die das IT-Notfallteam für die Organe, Einrichtungen und sonstigen Stellen der EU (CERT-EU) bei Vorfällen erbringt, können in Anspruch genommen werden, um nötigenfalls das Verfahren zur Bewältigung von Vorfällen zu unterstützen und um den Wissensaustausch mit anderen Organen, Einrichtungen und sonstigen Stellen der EU, die möglicherweise betroffen sind, zu erleichtern.
Systemeigner, die von einem IT-Sicherheitsvorfall betroffen sind, haben folgende Pflichten:
Sie benachrichtigen unverzüglich den Leiter ihrer Kommissionsdienststelle, die Generaldirektion Informatik, die Generaldirektion Humanressourcen und Sicherheit, den LISO und gegebenenfalls den Dateneigner von allen größeren IT-Sicherheitsvorfällen, insbesondere wenn dabei die Vertraulichkeit von Daten verletzt wurde;
sie arbeiten mit den einschlägigen Stellen der Kommission zusammen und befolgen deren Anweisungen in Bezug auf die Information über den Vorfall, die Reaktion und Abhilfemaßnahmen.
Die Nutzer melden zeitnah alle tatsächlichen oder mutmaßlichen IT-Sicherheitsvorfälle beim zuständigen IT-Helpdesk.
Die Dateneigner melden zeitnah alle tatsächlichen oder mutmaßlichen IT-Sicherheitsvorfälle beim zuständigen Noteinsatzteam für IT-Sicherheitsvorfälle.
Die Generaldirektion Informatik ist mit Unterstützung der anderen mitwirkenden Beteiligten zuständig für den Umgang mit IT-Sicherheitsvorfällen, die im Zusammenhang mit nicht an Dritte ausgelagerten KIS der Kommission festgestellt werden.
Die Generaldirektion Informatik informiert alle betroffenen Kommissionsdienststellen, den betreffenden LISO und gegebenenfalls das CERT-EU über IT-Sicherheitsvorfälle nach dem Grundsatz Kenntnis nur, wenn nötig .
Die Generaldirektion Informatik erstattet dem ISSB regelmäßig Bericht über größere IT-Sicherheitsvorfälle, von denen die KIS der Kommission betroffen sind.
Der jeweilige LISO erhält auf Anfrage Zugang zu den Aufzeichnungen über IT-Sicherheitsvorfälle in Bezug auf die KIS der betreffenden Kommissionsdienststelle.
Bei einem größeren IT-Sicherheitsvorfall fungiert die Generaldirektion Informatik als Kontaktstelle für das Krisenmanagement und koordiniert die Arbeit der Krisenmanagementgruppen für IT-Sicherheitsvorfälle.
Im Notfall kann der Generaldirektor der Generaldirektion Informatik die Einleitung eines IT-Sicherheitsnotverfahrens beschließen. Die Generaldirektion Informatik arbeitet Notverfahren aus, die dem ISSB zur Genehmigung vorgelegt werden müssen.
Die Generaldirektion Informatik erstattet dem ISSB und den Leitern der betroffenen Kommissionsdienststellen über die Durchführung der Notverfahren Bericht.
Die Prozesse in Bezug auf die in den Absätzen 1 bis 14 genannten Zuständigkeiten und Tätigkeiten werden gemäß Artikel 13 in Durchführungsbestimmungen im Einzelnen festgelegt.