Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

gnisse der Behörden berühren, die für die Überwachung der Einhaltung des geltenden Unionsrechts zum Datenschutz und zum Schutz der Privatsphäre zuständig sind. (32) Angesichts der Bedeutung der internationalen Zusammenarbeit im Bereich der Cybersicherheit sollten sich die von den Mitgliedstaaten benannten, für die Wahrnehmung der ihnen im Rahmen dieser Verordnung übertragenen Aufgaben zuständigen Behörden an internationalen Kooperationsnetzen beteiligten können. Zur Wahrnehmung ihrer Aufgaben sollten die zuständigen Behörden daher Informationen, einschließlich personenbezogener Daten, mit den zuständigen Behörden von Drittländern austauschen können, sofern die Bedingungen des Datenschutzrechts der Union für die Übermittlung personenbezogener Daten in Drittländer erfüllt sind, einschließlich der Bedingungen aus Artikel 49 der Verordnung (EU) 2016/679. (33) Die Verarbeitung personenbezogener Daten durch Einrichtungen mit erheblichen oder kritischen Auswirkungen in dem zur Gewährleistung der Sicherheit von Vermögenswerten erforderlichen und verhältnismäßigen Umfang könnte auf der Grundlage als rechtmäßig angesehen werden, dass diese Verarbeitung einer rechtlichen Verpflichtung entspricht, der der Verantwortliche gemäß Artikel 6 Absatz 1 Buchstabe c und Artikel 6 Absatz 3 der Verordnung (EU) 2016/679 unterliegt. Die Verarbeitung personenbezogener Daten kann auch für berechtigte Interessen erforderlich sein, die von Einrichtungen mit erheblichen oder kritischen Auswirkungen sowie von Anbietern von Sicherheitstechnologien und -diensten, die im Namen dieser Einrichtungen handeln, gemäß Artikel 6 Absatz 1 Buchstabe f der Verordnung (EU) 2016/679 wahrgenommen werden, auch wenn eine solche Verarbeitung für Vereinbarungen über den Informationsaustausch im Bereich der Cybersicherheit oder die freiwillige Mitteilung relevanter Informationen gemäß der vorliegenden Verordnung erforderlich ist. Maßnahmen zur Verhütung, Erkennung, Identifizierung, Eindämmung, Analyse und Bewältigung von Cyberangriffen, Maßnahmen zur Sensibilisierung für spezifische Cyberbedrohungen, der Informationsaustausch zur Behebung und zur koordinierten Offenlegung von Schwachstellen, der freiwillige Austausch von Informationen über solche Cyberangriffe sowie über Cyberbedrohungen und Schwachstellen, Kompromittierungsindikatoren, Taktiken, Vorgehensweisen und Verfahren, Cybersicherheitswarnungen und Konfigurationstools können es erforderlich machen, bestimmte Kategorien personenbezogener Daten wie IP-Adressen, URL-Adressen, Domänennamen, E-Mail-Adressen oder, sofern diese personenbezogene Daten enthalten, Zeitstempel zu verarbeiten. Die Verarbeitung personenbezogener Daten durch die zuständigen Behörden, zentralen Anlaufstellen und CSIRTs kann eine rechtliche Verpflichtung darstellen oder für die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt, die dem jeweiligen Verantwortlichen gemäß Artikel 6 Absatz 1 Buchstabe c oder e und Artikel 6 Absatz 3 der Verordnung (EU) 2016/679 übertragen wurde, oder zur Verfolgung eines berechtigten Interesses von Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 6 Absatz 1 Buchstabe f jener Verordnung als erforderlich angesehen werden. Darüber hinaus können im nationalen Recht Vorschriften festgelegt werden, die es den zuständigen Behörden, zentralen Anlaufstellen und CSIRTs ermöglichen, besondere Kategorien personenbezogener Daten gemäß Artikel 9 der Verordnung (EU) 2016/679 zu verarbeiten, soweit dies zur Gewährleistung der Sicherheit der Netz- und Informationssysteme von Einrichtungen mit erheblichen oder kritischen Auswirkungen erforderlich und verhältnismäßig ist, wozu insbesondere geeignete und besondere Maßnahmen zum Schutz der Grundrechte und Interessen natürlicher Personen vorgesehen werden, einschließlich technischer Beschränkungen für die Weiterverwendung solcher Daten und die Anwendung modernster Sicherheits- und Datenschutzvorkehrungen wie Pseudonymisierung oder Verschlüsselung, wenn die Anonymisierung den verfolgten Zweck erheblich beeinträchtigen könnte. (34) Häufig ist bei Cyberangriffen der Schutz personenbezogener Daten nicht mehr gewährleistet. In diesem Zusammenhang sollten die zuständigen Behörden mit den in der Verordnung (EU) 2016/679 und der Richtlinie 2002/58/EG genannten Behörden zusammenarbeiten und Informationen über alle relevanten Angelegenheiten austauschen. (35) Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 angehört und hat am 17. November 2023 eine Stellungnahme abgegeben — HAT FOLGENDE VERORDNUNG ERLASSEN: KAPITEL I ALLGEMEINE BESTIMMUNGEN Artikel 1 Gegenstand Diese Verordnung enthält einen Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse, einschließlich Vorschriften über gemeinsame Mindestanforderungen, Planung, Beobachtung, Berichterstattung und die Krisenbewältigung. Artikel 2 Anwendungsbereich (1) Diese Verordnung gilt für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse bei den Tätigkeiten der folgenden Einrichtungen, soweit diese gemäß Artikel 24 als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft werden: a) Elektrizitätsunternehmen im Sinne des Artikels 2 Nummer 57 der Richtlinie (EU) 2019/944; b) nominierte Strommarktbetreiber (NEMOs) im Sinne des Artikels 2 Nummer 8 der Verordnung (EU) 2019/943; c) organisierte Marktplätze oder organisierte Märkte im Sinne des Artikels 2 Nummer 4 der Durchführungsverordnung (EU) Nr. 1348/2014 der Kommission (14), die Transaktionen mit Produkten arrangieren, die für grenzüberschreitende Stromflüsse relevant sind; d) Anbieter kritischer IKT-Dienste im Sinne des Artikels 3 Nummer 9 dieser Verordnung; e) ENTSO-E, das gemäß Artikel 28 der Verordnung (EU) 2019/943 eingerichtet wurde; f) die EU-VNBO, die gemäß Artikel 52 der Verordnung (EU) 2019/943 eingerichtet wurde; g) Bilanzkreisverantwortliche im Sinne des Artikels 2 Nummer 14 der Verordnung (EU) 2019/943; h) Betreiber von Ladepunkten im Sinne des Anhangs I der Richtlinie (EU) 2022/2555; i) regionale Koordinierungszentren (RCC) gemäß Artikel 35 der Verordnung (EU) 2019/943; j) Anbieter verwalteter Sicherheitsdienste (MSSP) gemäß Artikel 6 Nummer 40 der Richtlinie (EU) 2022/2555; k) alle sonstigen Einrichtungen oder Dritte, denen gemäß dieser Verordnung Zuständigkeiten übertragen oder zugewiesen werden. (2) Die folgenden Behörden sind im Rahmen ihres derzeitigen Auftrags für die Wahrnehmung der in dieser Verordnung festgelegten Aufgaben zuständig: a) die mit der Verordnung (EU) 2019/942 des Europäischen Parlaments und des Rates (15) eingerichtete Agentur der Europäischen Union für die Zusammenarbeit der Energieregulierungsbehörden (ACER); b) die nationalen zuständigen Behörden, die für die Wahrnehmung der ihnen gemäß dieser Verordnung übertragenen Aufgaben verantwortlich sind und von den Mitgliedstaaten gemäß Artikel 4 als „zuständige Behörde“ benannt wurden; c) die gemäß Artikel 57 Absatz 1 der Richtlinie (EU) 2019/944 benannten nationalen Regulierungsbehörden (NRB) der einzelnen Mitgliedstaaten; d) die gemäß Artikel 3 der Verordnung (EU) 2019/941 benannten für die Risikovorsorge zuständigen Behörden (RP-NCA); e) die gemäß Artikel 10 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten Computer-Notfallteams (CSIRTs); f) die gemäß Artikel 8 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten für die Cybersicherheit zuständigen Behörden (CS-NCA); g) die gemäß der Verordnung (EU) 2019/881 errichtete Agentur der Europäischen Union für Cybersicherheit; h) alle sonstigen Behörden oder Dritte, denen gemäß Artikel 4 Absatz 3 Zuständigkeiten übertragen oder zugewiesen werden. (3) Diese Verordnung gilt auch für alle Einrichtungen, die nicht in der Union niedergelassen sind, aber Dienstleistungen für Einrichtungen in der Union erbringen, sofern sie von den zuständigen Behörden gemäß Artikel 24 Absatz 2 als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft wurden. (4) Diese Verordnung lässt die Zuständigkeit der Mitgliedstaaten in Bezug auf die Aufrechterhaltung der nationalen Sicherheit und ihre Befugnis zum Schutz anderer wesentlicher staatlicher Funktionen, einschließlich der Wahrung der territorialen Unversehrtheit des Staates und der Aufrechterhaltung der öffentlichen Ordnung, unberührt. (5) Diese Verordnung lässt die Zuständigkeit der Mitgliedstaaten für die Aufrechterhaltung der nationalen Sicherheit in Bezug auf Tätigkeiten zur Stromerzeugung in Kernkraftwerken, einschließlich Tätigkeiten innerhalb der nuklearen Wertschöpfungskette, im Einklang mit den Verträgen unberührt. (6) Soweit dies für die Zwecke dieser Verordnung erforderlich ist, werden personenbezogene Daten von Einrichtungen, den zuständigen Behörden, den zentralen Anlaufstellen auf Ebene der Einrichtung und den CSIRTs im Einklang mit der Verordnung (EU) 2016/679, insbesondere auf der Grundlage von Artikel 6 der genannten Verordnung, verarbeitet. Artikel 3 Begriffsbestimmungen Es gelten die folgenden Begriffsbestimmungen: 1. „Vermögenswert“ bezeichnet alle Informationen sowie jede Software oder Hardware, gleich ob materieller oder immaterieller Art, in Netz- und Informationssystemen, die für eine natürliche Person, eine Organisation oder eine Regierung von Wert sind; 2. „für die Risikovorsorge zuständige Behörde“ bezeichnet die gemäß Artikel 3 der Verordnung (EU) 2019/941 benannte zuständige Behörde; 3. „Computer-Notfallteam“ bezeichnet ein gemäß Artikel 10 der Richtlinie (EU) 2022/2555 für die Bewältigung von Risiken und Sicherheitsvorfällen zuständiges Team; 4. „Vermögenswert mit kritischen Auswirkungen“ bezeichnet einen Vermögenswert, der für die Durchführung eines Prozesses mit kritischen Auswirkungen erforderlich ist; 5. „Einrichtung mit kritischen Auswirkungen“ bezeichnet eine Einrichtung, die einen Prozess mit kritischen Auswirkungen durchführt und von den zuständigen Behörden gemäß Artikel 24 bestimmt wird; 6. „Perimeter mit kritischen Auswirkungen“ bezeichnet einen von einer in Artikel 2 Absatz 1 genannten Einrichtung definierten Perimeter, der alle Vermögenswerte mit kritischen Auswirkungen umfasst und in dem der Zugang zu diesen Vermögenswerten kontrolliert werden kann und der den Anwendungsbereich bestimmt, in dem die erweiterten Cybersicherheitskontrollen anzuwenden sind; 7. „Prozess mit kritischen Auswirkungen“ bezeichnet einen Geschäftsprozess einer Einrichtung, dessen Indizes für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor über dem Schwellenwert für kritische Auswirkungen liegen; 8. „Schwellenwert für kritische Auswirkungen“ bezeichnet die Werte der in Artikel 19 Absatz 3 Buchstabe b genannten Indizes für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor, bei deren Überschreitung ein Cyberangriff auf einen Geschäftsprozess zu einer kritischen Störung grenzüberschreitender Stromflüsse führt; 9. „Anbieter kritischer IKT-Dienste“ bezeichnet eine Einrichtung, die einen IKT-Dienst oder einen IKT-Prozess bereitstellt, der für einen Prozess mit kritischen oder erheblichen Auswirkungen, der sich auf Cybersicherheitsaspekte grenzüberschreitender Stromflüsse auswirkt, erforderlich ist und bei dessen Kompromittierung ein Cyberangriff erfolgen könnte, dessen Auswirkungen den Schwellenwert für kritische oder erhebliche Auswirkungen überschreiten; 10. „grenzüberschreitender Stromfluss“ bezeichnet einen grenzüberschreitenden Stromfluss im Sinne des Artikels 2 Nummer 3 der Verordnung (EU) 2019/943; 11. „Cyberangriff“ bezeichnet einen Vorfall im Sinne des Artikels 3 Nummer 14 der Verordnung (EU) 2022/2554; 12. „Cybersicherheit“ bezeichnet Cybersicherheit im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) 2019/881; 13. „Cybersicherheitskontrolle“ bezeichnet die zur Vermeidung, Erkennung, Bekämpfung oder Minimierung von Cybersicherheitsrisiken durchgeführten Maßnahmen oder Verfahren; 14. „Cybersicherheitsvorfall“ bezeichnet einen Vorfall im Sinne des Artikels 6 Nummer 6 der Richtlinie (EU) 2022/2555; 15. „Cybersicherheitsmanagementsystem“ bezeichnet die Konzepte, Verfahren, Leitlinien sowie die damit verbundenen Ressourcen und Tätigkeiten, die von einer Einrichtung insgesamt verwaltet werden, um ihre Informationsressourcen vor Cyberbedrohungen zu schützen, wobei die Sicherheit der Netz- und Informationssysteme einer Organisation systematisch bestimmt, umgesetzt, betrieben, überwacht, überprüft, aufrechterhalten und verbessert wird; 16. „Betriebszentrum für Cybersicherheit“ bezeichnet ein spezielles Zentrum, in dem ein aus einem oder mehreren Sachverständigen bestehendes technisches Team mithilfe von IT-Systemen für Cybersicherheit sicherheitsbezogene Aufgaben (Dienste von Cybersicherheits-Betriebszentren, CSOC-Dienste) wahrnimmt, wie z. B. den Umgang mit Cyberangriffen und Fehlern bei der Sicherheitskonfiguration, Sicherheitsüberwachung, Protokollanalyse und die Erkennung von Cyberangriffen; 17. „Cyberbedrohung“ bezeichnet eine Cyberbedrohung im Sinne des Artikels 2 Nummer 8 der Verordnung (EU) 2019/881; 18. „Schwachstellenmanagement im Bereich der Cybersicherheit“ bezeichnet die Praxis, Schwachstellen zu ermitteln und zu beheben; 19. „Einrichtung“ bezeichnet eine Einrichtung im Sinne des Artikels 6 Nummer 38 der Richtlinie (EU) 2022/2555; 20. „Frühwarnung“ bezeichnet die erforderliche Unterrichtung, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte; 21. „Index für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor“ (ECII) bezeichnet einen Index oder eine Klassifizierungsskala, mit dem/der die möglichen Folgen von Cyberangriffen auf Geschäftsprozesse im Zusammenhang mit grenzüberschreitenden Stromflüssen eingestuft werden; 22. „europäisches Schema für die Cybersicherheitszertifizierung“ bezeichnet ein Schema im Sinne des Artikels 2 Nummer 9 der Verordnung (EU) 2019/881; 23. „Einrichtung mit erheblichen Auswirkungen“ bezeichnet eine Einrichtung, die einen Prozess mit erheblichen Auswirkungen durchführt und von den zuständigen Behörden gemäß Artikel 24 ermittelt wird; 24. „Prozess mit erheblichen Auswirkungen“ bezeichnet jeden Geschäftsprozess einer Einrichtung, dessen Indizes für die Auswirkungen von Cybersicherheitsvorfällen im Elektrizitätssektor über den Schwellenwerten für erhebliche Auswirkungen liegen; 25. „Vermögenswert mit erheblichen Auswirkungen“ bezeichnet einen Vermögenswert, der für die Durchführung eines Prozesses mit erheblichen Auswirkungen erforderlich ist; 26. „Schwellenwert für erhebliche Auswirkungen“ bezeichnet die Werte der in Artikel 19 Absatz 3 Buchstabe b genannten Indizes für die Auswirkungen von Cybersicherheitsvorfällen im Elektrizitätssektor, bei deren Überschreitung ein erfolgreich durchgeführter Cyberangriff auf einen Prozess zu einer erheblichen Störung grenzüberschreitender Stromflüsse führt; 27. „Perimeter mit erheblichen Auswirkungen“ bezeichnet einen von einer der in Artikel 2 Absatz 1 aufgeführten Einrichtungen definierten Perimeter, der alle Vermögenswerte mit erheblichen Auswirkungen umfasst und in dem der Zugang zu diesen Vermögenswerten kontrolliert werden kann und der den Anwendungsbereich bestimmt, in dem die Mindestsicherheitskontrollen anzuwenden sind; 28. „IKT-Produkt“ bezeichnet ein IKT-Produkt im Sinne des Artikels 2 Nummer 12 der Verordnung (EU) 2019/881; 29. „IKT-Dienst“ bezeichnet einen IKT-Dienst im Sinne des Artikels 2 Nummer 13 der Verordnung (EU) 2019/881; 30. „IKT-Prozess“ bezeichnet einen IKT-Prozess im Sinne des Artikels 2 Nummer 14 der Verordnung (EU) 2019/881; 31. „Altsystem“ bezeichnet ein IKT-Altsystem im Sinne des Artikels 3 Nummer 3 der Verordnung (EU) 2022/2554; 32. „nationale zentrale Anlaufstelle“ bezeichnet die von jedem Mitgliedstaat gemäß Artikel 8 Absatz 3 der Richtlinie (EU) 2022/2555 benannte oder eingerichtete zentrale Anlaufstelle; 33. „NIS-Behörden für das Cyberkrisenmanagement“ bezeichnet die gemäß Artikel 9 Absatz 1 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten Behörden; 34. „Urheber“ bezeichnet eine Einrichtung, die einen Informationsaustausch, eine Informationsübermittlung oder die Speicherung von Informationen einleitet; 35. „Spezifikationen für die Auftragsvergabe“ bezeichnet die von Einrichtungen für die Beschaffung neuer oder aktualisierter IKT-Produkte, -Prozesse oder -Dienste festgelegten Spezifikationen; 36. „Vertreter“ bezeichnet eine in der Union niedergelassene natürliche oder juristische Person, die ausdrücklich dafür benannt wurde, im Namen einer Einrichtung mit erheblichen oder kritischen Auswirkungen, die nicht in der Union niedergelassen ist, aber Dienstleistungen für Einrichtungen in der Union erbringt, zu handeln, und an die sich eine zuständige Behörde oder ein CSIRT — statt an die Einrichtung mit erheblichen oder kritischen Auswirkungen — in Bezug auf die in dieser Verordnung festgelegten Verpflichtungen dieser Einrichtung wenden kann; 37. „Risiko“ bezeichnet ein Risiko im Sinne des Artikels 6 Nummer 9 der Richtlinie (EU) 2022/2555; 38. „Risiko-Auswirkungs-Matrix“ bezeichnet eine Matrix, die bei der Risikobewertung genutzt wird, um für jedes bewertete Risiko die mit ihm verbundenen Auswirkungen zu bestimmen; 39. „zeitgleich auftretende Stromversorgungskrise“ bezeichnet eine Stromversorgungskrise im Sinne des Artikels 2 Nummer 10 der Verordnung (EU) 2019/941; 40. „zentrale Anlaufstelle auf Ebene der Einrichtung“ bezeichnet eine zentrale Anlaufstelle bei der Einrichtung gemäß Artikel 38 Absatz 1 Buchstabe c; 41. „Interessenträger“ bezeichnet jede Partei, die am Erfolg und laufenden Betrieb einer Organisation oder eines Prozesses beteiligt ist, wie z. B. Beschäftigte, Direktoren, Anteilseigner, Regulierungsbehörden, Verbände, Lieferanten und Kunden; 42. „Norm“ bezeichnet eine Norm im Sinne des Artikels 2 Nummer 1 Buchstabe c der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates (16); 43. „Netzbetriebsregion“ bezeichnet die gemäß Artikel 36 der Verordnung (EU) 2019/943 festgelegten Netzbetriebsregionen, die in Anhang I der Entscheidung 05-2022 der ACER über die Definition der Netzbetriebsregionen bestimmt wurden; 44. „Netzbetreiber“ bezeichnet „Verteilernetzbetreiber“ (VNB) und „Übertragungsnetzbetreiber“ (ÜNB) im Sinne des Artikels 2 Nummer 29 bzw. Nummer 35 der Richtlinie (EU) 2019/944; 45. „unionsweiter Prozess mit kritischen Auswirkungen“ bezeichnet jeden Prozess im Elektrizitätssektor, an dem mehrere Einrichtungen beteiligt sein können und bei dem die möglichen Auswirkungen eines Cyberangriffs bei der Durchführung der unionsweiten Bewertung des Cybersicherheitsrisikos für kritisch erachtet werden können; 46. „unionsweiter Prozess mit erheblichen Auswirkungen“ bezeichnet jeden Prozess im Elektrizitätssektor, an dem mehrere Einrichtungen beteiligt sein können und bei dem die möglichen Auswirkungen eines Cyberangriffs bei der Durchführung der unionsweiten Bewertung des Cybersicherheitsrisikos für erheblich erachtet werden können; 47. „aktiv ausgenutzte Schwachstelle ohne Patch“ bezeichnet eine noch nicht öffentlich bekannt gegebene und noch nicht mit einem Patch versehene Schwachstelle, in Bezug auf die verlässliche Nachweise dafür vorliegen, dass ein Akteur ohne Zustimmung des Systemeigners einen schädlichen Programmcode in einem System ausgeführt hat; 48. „Schwachstelle“ bezeichnet eine Schwachstelle im Sinne des Artikels 6 Nummer 15 der Richtlinie (EU) 2022/2555. Artikel 4 Zuständige Behörde (1) So bald wie möglich, in jedem Fall aber bis zum 13 Dezember 2024, benennt jeder Mitgliedstaat eine nationale Regierungs- oder Regulierungsbehörde, die für die Wahrnehmung der ihr in dieser Verordnung übertragenen Aufgaben zuständig ist (im Folgenden „zuständige Behörde“). Bis die Aufgaben im Rahmen dieser Verordnung auf die zuständige Behörde übertragen wurden, nimmt die von jedem Mitgliedstaat gemäß Artikel 57 Absatz 1 der Richtlinie (EU) 2019/944 benannte Regulierungsbehörde die Aufgaben der zuständigen Behörde im Einklang mit dieser Verordnung wahr. (2) Die Mitgliedstaaten unterrichten die Kommission, die ACER, die ENISA, die gemäß Artikel 14 der Richtlinie (EU) 2022/2555 eingesetzte NIS-Kooperationsgruppe und die gemäß Artikel 1 des Beschlusses der Kommission vom 15. November 2012 (17) eingesetzte Koordinierungsgruppe „Strom“ unverzüglich und teilen ihnen den Namen und die Kontaktdaten ihrer gemäß Absatz 1 des vorliegenden Artikels benannten zuständigen Behörde sowie etwaige spätere Änderungen in Bezug auf diese Behörde mit. (3) Die Mitgliedstaaten können ihrer zuständigen Behörde gestatten, Aufgaben, die ihr in dieser Verordnung übertragen wurden, an andere nationale Behörden zu delegieren, mit Ausnahme der in Artikel 5 aufgeführten Aufgaben. Jede zuständige Behörde überwacht die Anwendung dieser Verordnung durch die Behörden, an die sie Aufgaben delegiert hat. Die zuständige Behörde teilt der Kommission, der ACER, der Koordinierungsgruppe „Strom“, der ENISA und der NIS-Kooperationsgruppe den Namen der Behörden, an die sie Aufgaben delegiert hat, deren Kontaktdaten, die ihnen übertragenen Aufgaben sowie etwaige spätere Änderungen mit. Artikel 5 Zusammenarbeit zwischen den zuständigen Behörden und Stellen auf nationaler Ebene Die zuständigen Behörden koordinieren und gewährleisten eine angemessene Zusammenarbeit zwischen den für Cybersicherheit zuständigen Behörden, den Behörden für das Cyberkrisenmanagement, den NRB, den für die Risikovorsorge zuständigen Behörden und den CSIRTs im Hinblick auf die Erfüllung der in dieser Verordnung festgelegten einschlägigen Verpflichtungen. Zudem stimmen sich die zuständigen Behörden mit anderen von den einzelnen Mitgliedstaaten bestimmten Stellen oder Behörden ab, um effiziente Verfahren sicherzustellen und Überschneidungen von Aufgaben und Pflichten zu vermeiden. Die zuständigen Behörden können die jeweiligen NRB anweisen, die ACER gemäß Artikel 8 Absatz 3 um eine Stellungnahme zu ersuchen. Artikel 6 Modalitäten oder Methoden oder Pläne (1) Die ÜNB entwickeln in Zusammenarbeit mit der EU-VNBO Vorschläge für die Modalitäten oder Methoden gemäß Absatz 2 bzw. für Pläne gemäß Absatz 3. (2) Die folgenden Modalitäten oder Methoden und etwaige Änderungen dieser Modalitäten oder Methoden bedürfen der Genehmigung aller zuständigen Behörden: a) die Methoden zur Bewertung des Cybersicherheitsrisikos gemäß Artikel 18 Absatz 1; b) der umfassende Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gemäß Artikel 23; c) die Mindest-Cybersicherheitskontrollen und die erweiterten Cybersicherheitskontrollen gemäß Artikel 29, der Vergleich der Cybersicherheitskontrollen im Elektrizitätssektor anhand von Normen gemäß Artikel 34, einschließlich Mindest-Cybersicherheitskontrollen und erweiterter Cybersicherheitskontrollen in der Lieferkette gemäß Artikel 33; d) eine Empfehlung für die Cybersicherheit bei der Auftragsvergabe gemäß Artikel 35; e) die Klassifizierungsmethode für Cyberangriffe gemäß Artikel 37 Absatz 8. (3) Die Vorschläge für die regionalen Pläne zur Minderung des Cybersicherheitsrisikos gemäß Artikel 22 bedürfen der Genehmigung aller zuständigen Behörden der betreffenden Netzbetriebsregion. (4) Die Vorschläge für Modalitäten oder Methoden gemäß Absatz 2 bzw. für Pläne gemäß Absatz 3 müssen einen Vorschlag für den Zeitplan für ihre Umsetzung und eine Beschreibung ihrer erwarteten Auswirkungen auf die Ziele dieser Verordnung enthalten. (5) Die EU-VNBO kann den betreffenden ÜNB bis zu drei Wochen vor Ablauf der Frist für die Übermittlung des Vorschlags für Modalitäten, Methoden oder Pläne an die zuständigen Behörden eine mit Gründen