Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Amtsblatt der Europäischen Union DE Reihe L 2024/1366 24.5.2024 DELEGIERTE VERORDNUNG (EU) 2024/1366 DER KOMMISSION vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse (Text von Bedeutung für den EWR) DIE EUROPÄISCHE KOMMISSION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, gestützt auf die Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates vom 5. Juni 2019 über den Elektrizitätsbinnenmarkt (1), insbesondere auf Artikel 59 Absatz 2 Buchstabe e, in Erwägung nachstehender Gründe: (1) Das Risikomanagement im Bereich der Cybersicherheit ist für die Aufrechterhaltung der Stromversorgungssicherheit und die Gewährleistung eines hohen Cybersicherheitsniveaus im Elektrizitätssektor von entscheidender Bedeutung. (2) Digitalisierung und Cybersicherheit sind entscheidend für die Erbringung wesentlicher Dienste und daher von strategischer Bedeutung für kritische Energieinfrastrukturen. (3) In der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates (2) sind Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union festgelegt. Die Verordnung (EU) 2019/941 des Europäischen Parlaments und des Rates (3) ergänzt die Richtlinie (EU) 2022/2555 dahin gehend, dass Cybersicherheitsvorfälle im Elektrizitätssektor ordnungsgemäß als Risiko bestimmt und in den Risikovorsorgeplänen angemessene Maßnahmen zu ihrer Bewältigung vorgesehen werden. Die Verordnung (EU) 2019/943 ergänzt die Richtlinie (EU) 2022/2555 und die Verordnung (EU) 2019/941 durch spezifische Vorschriften für den Elektrizitätssektor auf Unionsebene. Die vorliegende Delegierte Verordnung ergänzt darüber hinaus die Bestimmungen der Richtlinie (EU) 2022/2555 in Bezug auf den Elektrizitätssektor, soweit grenzüberschreitende Stromflüsse betroffen sind. (4) Angesichts vernetzter digitalisierter Elektrizitätssysteme kann die Prävention und Bewältigung von Stromversorgungskrisen im Zusammenhang mit Cyberangriffen nicht als rein nationale Aufgabe angesehen werden. Das Potenzial für effizientere und kostengünstigere Maßnahmen sollte durch eine regionale und unionsweite Zusammenarbeit vollständig erschlossen werden. Dazu bedarf es eines gemeinsamen Regelwerks und besser koordinierter Verfahren, um sicherzustellen, dass die Mitgliedstaaten und andere Akteure wirksam grenzübergreifend zusammenarbeiten können, und um so Transparenz, Vertrauen und Solidarität zwischen den Mitgliedstaaten und den für die Bereiche Elektrizität und Cybersicherheit zuständigen Behörden zu stärken. (5) Das Risikomanagement im Bereich der Cybersicherheit im Anwendungsbereich dieser Verordnung erfordert ein strukturiertes Verfahren, das unter anderem die Ermittlung der mit Cyberangriffen verbundenen Risiken für grenzüberschreitende Stromflüsse, die damit einhergehenden operativen Prozesse und Perimeter sowie die entsprechenden Cybersicherheitskontrollen und Überprüfungsmechanismen umfasst. Wenngleich sich der gesamte Prozess über Jahre erstreckt, sollte jeder einzelne Schritt zu einem hohen gemeinsamen Cybersicherheitsniveau in dem Sektor sowie zur Minderung von Cybersicherheitsrisiken beitragen. Alle an diesem Prozess Beteiligten sollten sich nach besten Kräften bemühen, die Methoden so bald wie möglich, d. h. unverzüglich, in jedem Fall aber spätestens innerhalb der in dieser Verordnung festgelegten Fristen, zu entwickeln und zu vereinbaren. (6) Die in dieser Verordnung vorgesehenen Bewertungen des Cybersicherheitsrisikos auf der Ebene der Union, der Mitgliedstaaten, der Regionen und der einzelnen Einrichtungen können auf Risiken beschränkt werden, die sich aus Cyberangriffen im Sinne der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates (4) ergeben, sodass beispielsweise physische Angriffe, Naturkatastrophen und Ausfälle aufgrund eines Verlusts von Anlagen oder Humanressourcen ausgenommen sind. Unionsweite und regionale Risiken im Zusammenhang mit physischen Angriffen oder Naturkatastrophen im Elektrizitätsbereich sind bereits von anderen bestehenden Rechtsvorschriften der Union erfasst, etwa von Artikel 5 der Verordnung (EU) 2019/941 oder der Verordnung (EU) 2017/1485 der Kommission (5) zur Festlegung einer Leitlinie für den Übertragungsnetzbetrieb. Die Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates (6) über die Resilienz kritischer Einrichtungen zielt ebenfalls darauf ab, Schwachstellen zu verringern und die physische Resilienz kritischer Einrichtungen zu stärken, und deckt alle relevanten natürlichen und vom Menschen verursachten Risiken ab, die sich auf die Erbringung wesentlicher Dienste auswirken können, wie z. B. Unfälle, Naturkatastrophen, Notlagen im Bereich der öffentlichen Gesundheit wie Pandemien, hybride Bedrohungen oder andere feindliche Bedrohungen, einschließlich terroristischer Straftaten, krimineller Unterwanderung und Sabotage. (7) Der in dieser Verordnung eingeführte Begriff „Einrichtungen mit erheblichen oder kritischen Auswirkungen“ ist von grundlegender Bedeutung, um zu bestimmen, welche Einrichtungen den Verpflichtungen aus dieser Verordnung unterliegen. Der in den verschiedenen Bestimmungen dargelegte risikobasierte Ansatz zielt darauf ab, Prozesse, die Auswirkungen auf grenzüberschreitende Stromflüsse haben, sowie die damit verbundenen Vermögenswerte und die sie betreibenden Einrichtungen zu ermitteln. Die Auswirkungen, die mögliche Cyberangriffe auf deren Tätigkeiten im Bereich grenzüberschreitender Stromflüsse haben können, können als „erhebliche Auswirkungen“ oder „kritische Auswirkungen“ eingestuft werden. In Artikel 3 der Richtlinie (EU) 2022/2555 sind die Begriffe „wesentliche Einrichtungen“ und „wichtige Einrichtungen“ und die Kriterien für die Bestimmung von Einrichtungen in diesen Kategorien festgelegt. Wenngleich viele Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 der vorliegenden Verordnung gleichzeitig als „wesentliche Einrichtungen“ im Sinne des Artikels 3 der Richtlinie (EU) 2022/2555 betrachtet und eingestuft werden dürften, beziehen sich die in dieser Verordnung festgelegten Kriterien nur auf ihre Rolle und Auswirkungen in Elektrizitätsprozessen, die grenzüberschreitende Stromflüsse betreffen, ohne dass dabei die in Artikel 3 der Richtlinie (EU) 2022/2555 festgelegten Kriterien berücksichtigt werden. (8) Bei den Einrichtungen, die als Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 in den Anwendungsbereich dieser Verordnung fallen und den darin festgelegten Verpflichtungen unterliegen, handelt es sich in erster Linie um Einrichtungen, die unmittelbare Auswirkungen auf grenzüberschreitende Stromflüsse in der EU haben. (9) Diese Verordnung greift auf bestehende Mechanismen und Instrumente zurück, die bereits in anderen Rechtsvorschriften vorgesehen sind, um für Effizienz zu sorgen und Doppelarbeit bei der Verwirklichung der Ziele zu vermeiden. (10) Bei der Anwendung dieser Verordnung sollten die Mitgliedstaaten, die zuständigen Behörden und die Netzbetreiber vereinbarte europäische Normen und technische Spezifikationen der europäischen Normungsorganisationen berücksichtigen und im Einklang mit den Rechtsvorschriften der Union über das Inverkehrbringen oder die Inbetriebnahme von Produkten handeln, die diesen Rechtsvorschriften der Union unterliegen. (11) Zur Minderung von Cybersicherheitsrisiken ist es erforderlich, ein detailliertes Regelwerk für die Maßnahmen und die Zusammenarbeit zwischen den einschlägigen Interessenträgern, deren Tätigkeiten Cybersicherheitsaspekte grenzüberschreitender Stromflüsse betreffen, zu erstellen, um die Systemsicherheit zu gewährleisten. Diese organisatorischen und technischen Vorschriften sollten sicherstellen, dass die meisten Vorfälle bei der Stromversorgung, denen Cybersicherheitsursachen zugrunde liegen, auf operativer Ebene wirksam bewältigt werden. Dazu ist festzulegen, was die einschlägigen Interessenträger tun sollten, um solche Krisen zu verhindern, und welche Maßnahmen sie ergreifen können, wenn die Vorschriften für den Systembetrieb allein nicht mehr ausreichen. Daher ist es erforderlich, einen gemeinsamen Rechtsrahmen für die Prävention und Bewältigung zeitgleich auftretender Stromversorgungskrisen mit zugrunde liegenden Cybersicherheitsursachen und die Vorsorge für solche Krisen zu schaffen. So wird die Transparenz bei der Vorsorge und während einer zeitgleich auftretenden Stromversorgungskrise erhöht und sichergestellt, dass zusammen mit den für die Cybersicherheit zuständigen Behörden in den Mitgliedstaaten koordinierte und wirksame Maßnahmen getroffen werden. Die Mitgliedstaaten und die einschlägigen Einrichtungen sollten verpflichtet werden, auf regionaler Ebene und gegebenenfalls bilateral solidarisch zusammenzuarbeiten. Diese Zusammenarbeit und diese Vorschriften sollen die Risikovorsorge im Bereich der Cybersicherheit, auch im Einklang mit den Zielen der Richtlinie (EU) 2022/2555, bei geringeren Kosten verbessern. Zudem erscheint es notwendig, den Elektrizitätsbinnenmarkt durch Förderung des Vertrauens in allen Mitgliedstaaten zu stärken, sodass insbesondere das Risiko einer unzulässigen Einschränkung grenzüberschreitender Stromflüsse gemindert und somit auch das Risiko negativer Ausstrahlungseffekte auf benachbarte Mitgliedstaaten verringert wird. (12) Um die Stromversorgungssicherheit zu gewährleisten, bedarf es einer wirksamen Zusammenarbeit der Mitgliedstaaten, der Organe, Einrichtungen und sonstigen Stellen der Union sowie der maßgeblichen Interessenträger. Verteilernetzbetreiber und Übertragungsnetzbetreiber spielen gemäß den Artikeln 31 und 40 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates (7) bei der Gewährleistung eines sicheren, zuverlässigen und effizienten Elektrizitätssystems eine Schlüsselrolle. Auch die einzelnen Regulierungsbehörden und anderen zuständigen nationalen Behörden haben bei der Wahrnehmung ihrer Aufgaben aus den Richtlinien (EU) 2019/944 und (EU) 2022/2555 große Bedeutung für die Gewährleistung und Überwachung der Cybersicherheit der Stromversorgung. Die Mitgliedstaaten sollten eine bestehende oder neue Stelle als für die Durchführung dieser Verordnung zuständige nationale Behörde benennen, um eine transparente und inklusive Beteiligung aller Akteure, eine effiziente Vorbereitung und ordnungsgemäße Umsetzung dieser Beteiligung sowie die Zusammenarbeit zwischen den verschiedenen einschlägigen Interessenträgern und zuständigen Behörden in den Bereichen Elektrizität und Cybersicherheit zu gewährleisten und die Prävention und Ex-post-Bewertung von Stromversorgungskrisen, denen Cybersicherheitsursachen zugrunde liegen, sowie den damit verbundenen Informationsaustausch zu erleichtern. (13) Wenn eine Einrichtung mit erheblichen oder kritischen Auswirkungen in mehr als einem Mitgliedstaat Dienstleistungen erbringt oder ihren Sitz oder eine Niederlassung oder Vertretung in einem Mitgliedstaat hat, sich ihre Netz- und Informationssysteme jedoch in einem oder mehreren anderen Mitgliedstaaten befinden, sollten diese Mitgliedstaaten ihre jeweiligen zuständigen Behörden dazu anhalten, sich nach besten Kräften um Zusammenarbeit zu bemühen und einander bei Bedarf zu unterstützen. (14) Die Mitgliedstaaten sollten sicherstellen, dass die zuständigen Behörden über die erforderlichen Befugnisse verfügen, um bei Einrichtungen mit erheblichen oder kritischen Auswirkungen die Einhaltung dieser Verordnung zu fördern. Diese Befugnisse sollten es den zuständigen Behörden ermöglichen, sowohl Vor-Ort-Inspektionen als auch externe Aufsichtsmaßnahmen durchzuführen. Dies kann stichprobenartige Kontrollen, regelmäßige Audits, gezielte Sicherheitsprüfungen auf der Grundlage von Risikobewertungen oder verfügbaren risikobezogenen Informationen und Sicherheitsscans nach objektiven, diskriminierungsfreien, fairen und transparenten Risikobewertungskriterien umfassen, einschließlich der Einholung von Informationen, die für die Bewertung der Cybersicherheitsmaßnahmen der Einrichtung erforderlich sind. Zu diesen Informationen sollten dokumentierte Cybersicherheitskonzepte, Zugangsdaten, Unterlagen und alle Angaben gehören, die für die Wahrnehmung ihrer Aufsichtsaufgaben erforderlich sind; zudem sollten sie Nachweise für die Umsetzung von Cybersicherheitskonzepten, wie die Ergebnisse von Sicherheitsaudits, die von einem qualifizierten Prüfer durchgeführt wurden, und die zugrunde liegenden Nachweise umfassen. (15) Um Lücken sowie Überschneidungen zwischen den Risikomanagementverpflichtungen von Einrichtungen mit erheblichen oder kritischen Auswirkungen im Bereich der Cybersicherheit zu vermeiden, sollten die nationalen Behörden gemäß der Richtlinie (EU) 2022/2555 und die gemäß der vorliegenden Verordnung zuständigen Behörden bei der Umsetzung von Risikomanagementmaßnahmen im Bereich der Cybersicherheit und der Überwachung der Einhaltung dieser Maßnahmen auf nationaler Ebene zusammenarbeiten. Hält eine Einrichtung die in dieser Verordnung festgelegten Anforderungen an das Cybersicherheitsrisikomanagement ein, könnte dies von den gemäß der Richtlinie (EU) 2022/2555 zuständigen Behörden auch als Gewährleistung der Einhaltung der entsprechenden Anforderungen der genannten Richtlinie betrachtet werden und umgekehrt. (16) Für einen gemeinsamen Ansatz bei der Prävention und Bewältigung zeitgleich auftretender Stromversorgungskrisen ist ein gemeinsames Verständnis der Mitgliedstaaten darüber erforderlich, was unter einer zeitgleich auftretenden Stromversorgungskrise zu verstehen ist und wann ein Cyberangriff dabei ein wichtiger Faktor ist. Insbesondere sollte die Koordination zwischen den Mitgliedstaaten und den einschlägigen Einrichtungen erleichtert werden, um Situationen zu bewältigen, in denen aufgrund eines Cyberangriffs potenziell das Risiko einer erheblichen Stromknappheit oder einer Unterbrechung der Stromversorgung von Kunden besteht oder unmittelbar bevorsteht. (17) In Erwägungsgrund 1 der Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates (8) wird die entscheidende Rolle von Netz- und Informationssystemen sowie von elektronischen Kommunikationsnetzen und -diensten für die Aufrechterhaltung der Wirtschaft in Schlüsselsektoren wie dem Energiesektor anerkannt, und in Erwägungsgrund 44 wird auf die Notwendigkeit der Zusammenarbeit zwischen der Agentur der Europäischen Union für Cybersicherheit (ENISA) und der Agentur der Europäischen Union für die Zusammenarbeit der Energieregulierungsbehörden (ACER) hingewiesen. (18) In der Verordnung (EU) 2019/943 werden Übertragungsnetzbetreibern (ÜNB) und Verteilernetzbetreibern (VNB) besondere Zuständigkeiten im Bereich der Cybersicherheit übertragen. Ihre europäischen Verbände, d. h. das Europäische Netz der Übertragungsnetzbetreiber (ENTSO-E) und die Europäische Organisation der VNB (EU-VNBO), müssen nach Artikel 30 bzw. 55 der genannten Verordnung die Cybersicherheit in Zusammenarbeit mit den maßgeblichen Behörden und regulierten Unternehmen fördern. (19) Im Hinblick auf einen gemeinsamen Ansatz für die Prävention und Bewältigung zeitgleich auftretender Stromversorgungskrisen mit zugrunde liegenden Cybersicherheitsursachen müssen zudem alle einschlägigen Interessenträger harmonisierte Methoden und Definitionen anwenden, um Risiken im Zusammenhang mit der Cybersicherheit der Stromversorgung zu ermitteln. Darüber hinaus muss es möglich sein, effektiv zu vergleichen, wie gut sie und ihre Nachbarn in diesem Bereich handeln. Dazu ist es erforderlich, die Verfahren, Rollen und Zuständigkeiten für die Entwicklung und Aktualisierung von Risikomanagementmethoden, von Skalen für die Einstufung von Sicherheitsvorfällen und von Cybersicherheitsmaßnahmen festzulegen, die an Cybersicherheitsrisiken mit Auswirkungen auf grenzüberschreitende Stromflüsse angepasst sind. (20) Die Mitgliedstaaten sind über die gemäß dieser Verordnung benannte zuständige Behörde dafür verantwortlich, die Einrichtungen zu ermitteln, die die Kriterien für die Einstufung als Einrichtungen mit erheblichen Auswirkungen oder als Einrichtungen mit kritischen Auswirkungen erfüllen. Um die Unterschiede zwischen den Mitgliedstaaten in diesem Bereich zu beheben und für alle relevanten Einrichtungen Rechtssicherheit hinsichtlich der Risikomanagementmaßnahmen im Bereich der Cybersicherheit und der Berichterstattungspflichten zu gewährleisten, sollte eine Reihe von Kriterien dafür festgelegt werden, welche Einrichtungen in den Anwendungsbereich der vorliegenden Verordnung fallen. Diese Kriterien sollten im Rahmen des Verfahrens für die Entwicklung und Annahme der in dieser Verordnung genannten Modalitäten und Methoden festgelegt und regelmäßig aktualisiert werden. (21) Die Bestimmungen dieser Verordnung sollten das Unionsrecht, das spezifische Vorschriften für die Zertifizierung von Produkten, Diensten und Prozessen der Informations- und Kommunikationstechnologie (IKT) enthält, unberührt lassen, insbesondere die Verordnung (EU) 2019/881 in Bezug auf den Rahmen für die Festlegung europäischer Schemata für die Cybersicherheitszertifizierung. Im Rahmen der vorliegenden Verordnung sollten IKT-Produkte auch technische Geräte und Software umfassen, die eine direkte Interaktion mit dem elektrotechnischen Netz ermöglichen, insbesondere industrielle Steuerungssysteme, die für die Energieübertragung, Energieverteilung und Energieerzeugung sowie für die Erhebung und Übermittlung damit zusammenhängender Informationen genutzt werden können. Die Bestimmungen sollten sicherstellen, dass die einschlägigen Sicherheitsziele aus Artikel 51 der Verordnung (EU) 2019/881 von den zu beschaffenden IKT-Produkten, -Diensten und -Prozessen erfüllt werden. (22) Wie aktuelle Cyberangriffe gezeigt haben, sind Einrichtungen zunehmend von Angriffen auf Lieferketten betroffen. Diese Angriffe auf die Lieferkette wirken sich nicht nur auf einzelne Einrichtungen im Anwendungsbereich aus, sondern können auch Kaskadenwirkung haben und zu größeren Angriffe führen, die auch die mit ihnen über das Stromnetz verbundenen Einrichtungen in Mitleidenschaft ziehen. Daher wurden auch Bestimmungen und Empfehlungen aufgenommen, die dazu beitragen sollen, die Cybersicherheitsrisiken im Zusammenhang mit Prozessen zu mindern, die die Lieferketten, insbesondere die Auftragsvergabe, betreffen und Auswirkungen auf grenzüberschreitende Stromflüsse haben. (23) Da bei der Ausnutzung von Schwachstellen in Netz- und Informationssystemen erhebliche Unterbrechungen der Energieversorgung und Schäden für Wirtschaft und Verbraucher entstehen können, sollten diese Schwachstellen rasch ermittelt und behoben werden, um die mit ihnen verbundenen Risiken zu verringern. Zur Unterstützung einer wirksamen Durchführung dieser Verordnung sollten die einschlägigen Einrichtungen und zuständigen Behörden zusammenarbeiten, um für diesen Zweck als angemessen erachtete Tätigkeiten zu üben und zu prüfen, einschließlich des Informationsaustauschs über Cyberbedrohungen, Cyberangriffe, Schwachstellen, Instrumente und Methoden, Taktiken, Techniken und Verfahren, der Vorsorge für das Cybersicherheitskrisenmanagement und anderer Maßnahmen. Da sich die Technik ständig weiterentwickelt und der Elektrizitätssektor rasch digitalisiert wird, sollte die Umsetzung der angenommenen Bestimmungen Innovationen nicht behindern und keine Hindernisse für den Zugang neuer Unternehmen zum Strommarkt und die anschließende Nutzung innovativer Lösungen schaffen, die zu einer effizienteren und nachhaltigeren Gestaltung des Elektrizitätssystems beitragen. (24) Die zur Überwachung der Durchführung dieser Verordnung erhobenen Informationen sollten nach dem Grundsatz „Kenntnis nur, wenn nötig“ angemessen beschränkt werden. Die Fristen für die Übermittlung dieser Informationen sollten für die beteiligten Interessenträger umsetzbar und wirksam sein. Doppelmeldungen sollten vermieden werden. (25) Der Cybersicherheitsschutz endet nicht an den Grenzen der Union. Um ein sicheres System zu gewährleisten, müssen auch benachbarte Drittländer einbezogen werden. Die Union und ihre Mitgliedstaaten sollten sich darum bemühen, benachbarte Drittländer, deren Strominfrastruktur mit dem europäischen Netz verbunden ist, bei der Anwendung ähnlicher Cybersicherheitsvorschriften wie den in dieser Verordnung enthaltenen Vorschriften zu unterstützen. (26) Um die Koordination im Bereich der Sicherheit rasch zu verbessern und künftige verbindliche Modalitäten und Methoden zu prüfen, sollten ENTSO-E, die EU-VNBO und die zuständigen Behörden unmittelbar nach dem Inkrafttreten dieser Verordnung mit der Ausarbeitung unverbindlicher Leitlinien beginnen. Diese Leitlinien werden als Ausgangsbasis für die Entwicklung künftiger Modalitäten und Methoden dienen. Parallel dazu sollten die zuständigen Behörden Einrichtungen ermitteln, die als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft werden könnten, damit diese auf freiwilliger Basis mit der Erfüllung der Verpflichtungen beginnen können. (27) Diese Verordnung wurde in enger Zusammenarbeit mit der ACER, der ENISA, ENTSO-E, der EU-VNBO und weiteren Interessenträgern erarbeitet, um auf transparente und partizipative Weise wirksame, ausgewogene und verhältnismäßige Vorschriften zu erlassen. (28) Diese Verordnung ergänzt und erweitert die im EU-Rahmen für die Reaktion auf Cybersicherheitskrisen gemäß der Empfehlung (EU) 2017/1584 der Kommission (9) festgelegten Krisenmanagementmaßnahmen. Ein Cyberangriff könnte auch eine Stromversorgungskrise im Sinne des Artikels 2 Nummer 9 der Verordnung (EU) 2019/941 mit Auswirkungen auf grenzüberschreitende Stromflüsse verursachen, dazu beitragen oder mit ihr zusammenfallen. Eine solche Stromversorgungskrise könnte zu einer zeitgleich auftretenden Stromversorgungskrise im Sinne des Artikels 2 Nummer 10 der Verordnung (EU) 2019/941 führen. Ein solcher Vorfall könnte sich auch auf andere, von der Stromversorgungssicherheit abhängige Sektoren auswirken. Sollte ein solcher Vorfall zu einem Cybersicherheitsvorfall großen Ausmaßes im Sinne des Artikels 16 der Richtlinie (EU) 2022/2555 eskalieren, sollten die Bestimmungen des genannten Artikels zur Einrichtung des Europäischen Netzwerks der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe) angewandt werden. Für das Krisenmanagement auf Unionsebene sollten sich die relevanten Parteien auf die Integrierte Regelung für die politische Reaktion auf Krisen gemäß dem Durchführungsbeschluss (EU) 2018/1993 des Rates (10) (IPCR-Regelung) stützen. (29) Im Einklang mit dem Unionsrecht bleibt die Möglichkeit der Mitgliedstaaten, die für die Wahrung ihrer wesentlichen Sicherheitsinteressen und den Schutz der öffentlichen Ordnung und der öffentlichen Sicherheit erforderlichen Maßnahmen zu ergreifen und die Ermittlung, Feststellung und Verfolgung von Straftaten zuzulassen, von der vorliegenden Verordnung unberührt. Nach Artikel 346 AEUV ist kein Mitgliedstaat verpflichtet, Auskünfte zu erteilen, deren Preisgabe seines Erachtens seinen wesentlichen Sicherheitsinteressen widerspricht. (30) Diese Verordnung gilt zwar grundsätzlich auch für Einrichtungen, die in der Erzeugung von Strom aus Kernkraftwerken tätig sind, einige dieser Tätigkeiten können jedoch mit der nationalen Sicherheit in Verbindung stehen. (31) Jede Verarbeitung personenbezogener Daten im Rahmen dieser Verordnung sollte dem Unionsrecht zum Datenschutz und zum Schutz der Privatsphäre unterliegen. Insbesondere lässt diese Verordnung die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (11), die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (12) und die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (13) unberührt. Diese Verordnung sollte daher unter anderem nicht die Aufgaben und Befu