XI - Europas Digitale Dekade

Cybersecurity Verordnung

Verordnung zur Einrichtung des European Cybersecurity COmpetence Centre (ECCC)

Cyber-Resilience-Verordnung

NIS-2-Richtlinie

Ausbau ENISA

Aufgaben ENISA:

• Steigerung Sensibilität für Cybersicherheit bei Bürgern und Unternehmen

• Unterstützung der EU Organe bei Entwicklung und Umsetzung von politischen Rahmenbedingungen der Cybersicherheit

• Unterstützung in Forschung und Innovation

• Unterstützung in internationaler Zusammenarbeit

• Schaffung EU-Rahmen für IT.Sicherheitszertifizierungen

soll EU weites Industrie und Förschungsökosystem im Bereich der Cybersicherheit schaffen

Ziel ist Widerstandsfähigkeit von sensiblen Betreibern und Sektoren vor Cyberangriffen zu erhöhen

wird durch BSI-Gesetz umgesetzt

Betreiber kritische Anlagen

qualifizierte Vertrauensdiensteanbieter, Top Level Domain Registries und DNS-Dienstanbieter

Anbieter öffentlich zugänglicher Telekommunikationsnetze

• >50 Mitarbeiter

• > 10 Millionen € Jahresumsatz

Anbieter bestimmter Sektoren:

• Energie

• Transport und Verkehr

• Finanzwesen

• Gesundheit

• Wasser

• Digitale Infrastruktur

• Weltraum

  -> mit > 250 Mitarbeitern, > 50 Millionen € Jahresumsatz

Vertrauendsienstanbieter

restliche Anbieter öffentlicher Telekommunikationsnetze

Anbieter der Sektoren:

• Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum

• Abfallbewirtschaftung, Produktion/Handel chemische Stoffe, Lebensmittel, Verarbeitung/Herstellung von Waren, digitale Dienste, Forschung

  -> > 50 Mitarbeiter, > 10 Millionen € Jahresumsatz

besonders wichtige Einrichtungen

wichtige Einrichtungen

Domain-Name-Registry-Diensteanabieter

sobald Einrichtung erstmals oder erneut als wichtig oder besonders wichtig gilt

innerhalb von 3 Monaten

Name der Einrichtung

Rechtsform

Handelsregisternummer

Anschrift, Kontaktdaten

IP-Adressbereich

relevanter Sektor/Branche

Auflistung der EU-Staaten in denen Dienste erbracht werden

zuständige Aufsichtbehörde

stand der Technik beinhalten

europäische und internationale Normen berücksichtigen

auf gefahrenübergreifenden Ansatz beruhen

systematischen umfassenden Sicherheitsansatz & nachvollziehbare Dokumentation

Konzepte zur Risikoanalyse

Bewältigung von Sicherheitsvorfällen

Aufrechterhaltung des Betriebs

Sicherheit der Lieferkette

Erwerb, Entwicklung, Wartung informationstechnischer Systeme

Konzepte zur Bewertung dder Wirksamkeit der Risikomanagemntmaßnahmen

grundlegende Schulungen und Sensibilisierungsmaßnahmen

Konzepte und Prozesse für den Einsatz kryptografischer Verfahren

Konzepte und Prozesse für Personalsicherheit, Zugriffskontrollen & Verwaltung von IKT-Systemen

Verwendung von Multi-Faktor Authetifizierung

frühe Erstmeldng innerhalb 24h nach Kenntniserlangung mit Indos ob Verdacht besteht dass Sicherheitsvorfall rechtswidrig oder böswillig passiert ist und ob Vorfall grenzüberschreitende Auswirkungen jaben könnte

Sicherheitsvorfallmeldung innerhalb 72 h nach kenntniserlangung mit Angaben aus Erstmeldung bestätigen

• erste Bewertung mit Schweregrad und Auswirkung

Abschlussmeldung spätestens einen Minat nach Übermittlung der Sicherheitsvorfallmeldung

• ausführliche Beschreibung

• Schweregrad und Auswirkungen des Vorfalls

• Angaben zur Art der Bedrohung und ihren Ursachen

• ANgaben zu getroffenen und laufenden Abhilfemaßnahmen

• Angabe zu grenzüberschreitenden Auswirkungen