Art. 21 32025R0038

Auf Ersuchen der Kommission oder des EU-CyCLONe nimmt die ENISA mit Unterstützung des CSIRTs-Netzes und mit Zustimmung der betroffenen Mitgliedstaaten eine Überprüfung und Bewertung von Cyberbedrohungen, bekannten ausnutzbaren Schwachstellen und Eindämmungsmaßnahmen im Zusammenhang mit einem bestimmten schwerwiegenden Cybersicherheitsvorfall oder Cybersicherheitsvorfall großen Ausmaßes vor. Nach Abschluss der Überprüfung und Bewertung eines Sicherheitsvorfalls legt die ENISA dem EU-CyCLONe, dem CSIRTs-Netz, den betroffenen Mitgliedstaaten und der Kommission einen Bericht über die Überprüfung des Sicherheitsvorfalls vor, der darauf abzielt, zwecks Vermeidung oder Eindämmung künftiger Sicherheitsvorfälle gewonnene Erkenntnisse festzuhalten, um die genannten Adressaten des Berichts bei der Wahrnehmung ihrer Aufgaben — insbesondere der in den Artikeln 15 und 16 der Richtlinie (EU) 2022/2555 festgelegten Aufgaben — zu unterstützen. Hat ein Sicherheitsvorfall Auswirkungen auf ein mit dem Programm „Digitales Europa“ assoziiertes Drittland, leitet die ENISA den Bericht auch dem Rat weiter. In solchen Fällen leitet die Kommission den Bericht an den Hohen Vertreter weiter.

Bei der Erstellung des in Absatz 1 des vorliegenden Artikels genannten Berichts über die Überprüfung des Sicherheitsvorfalls arbeitet die ENISA mit allen einschlägigen Interessenträgern zusammen und holt Rückmeldungen von diesen ein, darunter Vertreter der Mitgliedstaaten, die Kommission, andere einschlägige Organe, Einrichtungen und sonstige Stellen der Union sowie die Branche, einschließlich Anbieter verwalteter Sicherheitsdienste, und Nutzer von Cybersicherheitsdiensten. Soweit dies angemessen ist, arbeitet die ENISA in Kooperation mit CSIRTs sowie gegebenenfalls mit gemäß Artikel 8 Absatz 1 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden auch mit Einrichtungen zusammen, die von schwerwiegenden Cybersicherheitsvorfällen oder Cybersicherheitsvorfällen großen Ausmaßes betroffen sind. Befragte Vertreter müssen etwaige Interessenkonflikte offenlegen.

Der in Absatz 1 des vorliegenden Artikels genannte Bericht über die Überprüfung des Sicherheitsvorfalls enthält eine Überprüfung und Analyse des konkreten schwerwiegenden Cybersicherheitsvorfalls oder Cybersicherheitsvorfalls großen Ausmaßes, einschließlich der Hauptursachen, der bekannten ausnutzbaren Schwachstellen und der gewonnenen Erkenntnisse. Die ENISA stellt sicher, dass der Bericht den Rechtsvorschriften der Union oder den nationalen Rechtsvorschriften über den Schutz vertraulicher oder als Verschlusssache eingestufter Informationen entspricht. Wenn die betreffenden Mitgliedstaaten oder andere in Artikel 14 Absatz 3 genannte Nutzer, die von dem Sicherheitsvorfall betroffen sind, dies verlangen, werden die in dem Bericht enthaltenen Daten und Informationenanonymisiert. Der Bericht darf keine Angaben über aktiv ausgenutzte Schwachstellen enthalten, die noch nicht behoben wurden.

Gegebenenfalls enthält der Bericht über die Überprüfung des Sicherheitsvorfalls Empfehlungen zur Verbesserung der Cyberabwehr der Union und kann bewährte Verfahren und gewonnene Erkenntnisse einschlägiger Interessenträger umfassen.

Die ENISA kann eine öffentlich zugängliche Fassung des Berichts über die Überprüfung des Sicherheitsvorfalls herausgeben. Diese Fassung des Berichts darf nur zuverlässige öffentliche Informationen oder andere zuverlässige Informationen nur mit Zustimmung der betreffenden Mitgliedstaaten bzw. — bei Informationen über einen in Artikel 14 Absatz 3 Buchstabe b oder c genannten Nutzer — nur mit Zustimmung dieses Nutzers enthalten.