Art. 8 32023R2841

Maßnahmen zum Management von Cybersicherheitsrisiken

VERORDNUNG (EU, EURATOM) 2023/2841 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 13. Dezember 2023 zur Festlegung von Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union · KAPITEL II

(1)

Jede Einrichtung der Union ergreift unverzüglich, in jedem Fall aber bis zum 8. September 2025 unter der Aufsicht ihrer höchsten Managementebene geeignete und verhältnismäßige technische, betriebliche und organisatorische Maßnahmen, um die im Rahmen des Rechtsrahmens ermittelten Cybersicherheitsrisiken zu bewältigen und um Sicherheitsvorfälle zu verhindern bzw. deren Auswirkungen zu minimieren. Unter Berücksichtigung des Stands der Technik und gegebenenfalls einschlägiger europäischer und internationaler Normen wird mit diesen Maßnahmen für ein Sicherheitsniveau von Netz- und Informationssystemen in der gesamten IKT-Umgebung gesorgt, das den bestehenden Cybersicherheitsrisiken gerecht wird. Bei der Bewertung der Verhältnismäßigkeit dieser Maßnahmen sind das Ausmaß der Exposition der Einrichtung der Union gegenüber Cybersicherheitsrisiken, ihre Größe und die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen, wirtschaftlichen und institutionellen Auswirkungen, gebührend zu berücksichtigen.

(2)

Bei der Durchführung von Maßnahmen zum Management von Cybersicherheitsrisiken müssen die Einrichtungen der Union mindestens die folgenden Bereiche berücksichtigen: Die Einrichtungen der Union müssen für die Zwecke von Unterabsatz 1 Buchstabe m die spezifischen Schwachstellen der einzelnen direkten Anbieter und Dienstleister und die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Dienstleister, einschließlich ihrer sicheren Entwicklungsprozesse, berücksichtigen.

Cybersicherheitsstrategie, einschließlich der Maßnahmen, die zur Verwirklichung der in Artikel 6 und in Absatz 3 des vorliegenden Artikels genannten Ziele und Prioritäten erforderlich sind,

Strategien für die Analyse von Cybersicherheitsrisiken und die Sicherheit von Informationssystemen,

Strategische Grundsätze in Bezug auf die Nutzung von Cloud-Computing-Diensten,

gegebenenfalls eine Cybersicherheitsprüfung, die eine Bewertung des Cybersicherheitsrisikos, der Anfälligkeit und der Cyberbedrohung sowie regelmäßig von einem vertrauenswürdigen privaten Anbieter durchgeführte Penetrationstests umfassen kann,

Umsetzung der Empfehlungen, die sich aus den unter Buchstabe d genannten Cybersicherheitsprüfungen ergeben, durch Aktualisierungen im Bereich der Cybersicherheit und der Strategie,

Organisation der Cybersicherheit, einschließlich Festlegung der Aufgaben und Zuständigkeiten,

Verwaltung der Vermögenswerte, einschließlich IKT-Bestandsverzeichnis und IKT-Netzkartografie,

Sicherheit des Personals und Zugangskontrolle,

Betriebssicherheit,

Kommunikationssicherheit,

Beschaffung, Entwicklung und Wartung von Systemen, einschließlich Vorgaben zur Bewältigung und Offenlegung von Sicherheitslücken,

wenn möglich, Strategie zur Transparenz des Quellcodes,

Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte im Zusammenhang mit den Beziehungen zwischen den einzelnen Einrichtungen der Union und ihren direkten Anbietern oder Dienstleistern,

Bewältigung von Sicherheitsvorfällen und Zusammenarbeit mit dem CERT-EU, z. B. bei der Aufrechterhaltung der Sicherheitsüberwachung und -protokollierung,

Kontinuitätsmanagement, etwa Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,

Förderung und Entwicklung von Ausbildungs-, Kompetenz-, Aufklärungs-, Übungs- und Schulungsprogrammen im Bereich der Cybersicherheit.

(3)

Die Einrichtungen der Union müssen mindestens die folgenden spezifischen Maßnahmen zum Management von Cybersicherheitsrisiken ergreifen:

technische Vorkehrungen zur Ermöglichung und Aufrechterhaltung der Telearbeit,

konkrete Schritte für den Übergang zu Zero-Trust-Grundsätzen,

Verwendung der Multifaktor-Authentifizierung als Norm in allen Netz- und Informationssystemen,

Verwendung von Kryptografie und Verschlüsselung, insbesondere von Ende-zu-Ende-Verschlüsselung sowie von sicheren digitalen Signaturen,

erforderlichenfalls Einsatz von gesicherter Sprach-, Video- und Textkommunikation und gesicherter Notrufkommunikationssysteme innerhalb der Einrichtung,

proaktive Maßnahmen zur Erkennung und Entfernung von Schadsoftware und Spähsoftware,

Schaffung von Sicherheit in der Software-Lieferkette durch Kriterien für sichere Entwicklung und Bewertung von Software,

Erstellung und Annahme von Schulungsprogrammen zur Cybersicherheit, die den vorgeschriebenen Aufgaben und den erwarteten Fähigkeiten der höchsten Managementebene und der Bediensteten der Einrichtung der Union, die mit der wirksamen Durchführung dieser Verordnung betraut sind, gerecht werden,

regelmäßige Cybersicherheitsschulungen für Mitarbeiter,

Beteiligung an Risikoanalysen zur Interkonnektivität zwischen den Einrichtungen der Union, wo relevant,

Erweiterung der Vorschriften für die Auftragsvergabe, um ein hohes gemeinsames Cybersicherheitsniveau zu begünstigen, und zwar durch

die Beseitigung vertraglicher Hindernisse, die den Informationsaustausch der IKT-Dienstleister über Sicherheitsvorfälle, Schwachstellen und Cyberbedrohungen mit dem CERT-EU einschränken,

ii)

vertragliche Pflichten zur Meldung von Sicherheitsvorfällen, Schwachstellen und Cyberbedrohungen sowie zur Einrichtung geeigneter Mechanismen zur Bewältigung und Überwachung von Sicherheitsvorfällen.