Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

versehene Stellungnahme übermitteln. Die für den Vorschlag für Modalitäten, Methoden oder Pläne zuständigen ÜNB berücksichtigen die mit Gründen versehene Stellungnahme der EU-VNBO, bevor sie den Vorschlag den zuständigen Behörden zur Genehmigung vorlegen. Wenn die ÜNB die Stellungnahme der EU-VNBO nicht berücksichtigen, begründen sie dies. (6) Bei der gemeinsamen Entwicklung von Modalitäten, Methoden und Plänen arbeiten die teilnehmenden ÜNB eng zusammen. Die ÜNB unterrichten die zuständigen Behörden und die ACER mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO regelmäßig über die Fortschritte bei der Entwicklung der Modalitäten, Methoden oder Pläne. Artikel 7 Vorschriften für Abstimmungen der ÜNB (1) Können ÜNB bei der Entscheidung über Vorschläge für Modalitäten oder Methoden keine Einigung erzielen, so entscheiden sie mit qualifizierter Mehrheit. Die qualifizierte Mehrheit für diese Vorschläge wird wie folgt berechnet: a) ÜNB, die mindestens 55 % der Mitgliedstaaten vertreten, und b) ÜNB, die Mitgliedstaaten vertreten, die mindestens 65 % der Bevölkerung der Union umfassen. (2) Eine Sperrminorität bei Entscheidungen über Vorschläge für in Artikel 6 Absatz 2 aufgeführte Modalitäten oder Methoden ist mit ÜNB erreicht, die mindestens vier Mitgliedstaaten vertreten; andernfalls gilt die qualifizierte Mehrheit als erreicht. (3) Können ÜNB einer Netzbetriebsregion bei der Entscheidung über Vorschläge für die in Artikel 6 Absatz 2 genannten Pläne keine Einigung erzielen und besteht die betreffende Netzbetriebsregion aus mehr als fünf Mitgliedstaaten, so entscheiden die ÜNB mit qualifizierter Mehrheit. Bei Vorschlägen gemäß Artikel 6 Absatz 2 ist für eine qualifizierte Mehrheit folgende Mehrheit erforderlich: a) ÜNB, die mindestens 72 % der betroffenen Mitgliedstaaten vertreten, und b) ÜNB, die Mitgliedstaaten vertreten, die mindestens 65 % der Bevölkerung der betroffenen Region umfassen. (4) Eine Sperrminorität für Entscheidungen über Vorschläge für die Pläne muss eine Mindestanzahl von ÜNB umfassen, die mehr als 35 % der Bevölkerung der teilnehmenden Mitgliedstaaten vertreten, zuzüglich ÜNB, die mindestens einen weiteren betroffenen Mitgliedstaat vertreten; ansonsten gilt die qualifizierte Mehrheit als erreicht. (5) Bei Entscheidungen der ÜNB über Vorschläge für in Artikel 6 Absatz 2 aufgeführte Modalitäten oder Methoden erhält jeder Mitgliedstaat eine Stimme. Gibt es im Hoheitsgebiet eines Mitgliedstaats mehr als einen ÜNB, teilt der Mitgliedstaat die Stimmrechte unter den ÜNB auf. (6) Legen ÜNB den jeweils zuständigen Behörden nicht innerhalb der in dieser Verordnung festgelegten Fristen in Zusammenarbeit mit der EU-VNBO einen ersten oder geänderten Vorschlag für Modalitäten oder Methoden oder für Pläne vor, so übermitteln sie den jeweils zuständigen Behörden und der ACER entsprechende Entwürfe der Modalitäten oder Methoden bzw. der Pläne. Sie erläutern, warum keine Einigung erzielt wurde. Die zuständigen Behörden treffen gemeinsam geeignete Maßnahmen für die Annahme der erforderlichen Modalitäten oder Methoden bzw. der erforderlichen Pläne. Dies kann z. B. durch Ersuchen um Änderungen der Entwürfe gemäß diesem Absatz, durch Überarbeitung und Vervollständigung dieser Entwürfe oder, falls keine Entwürfe vorgelegt wurden, durch Festlegung und Genehmigung der erforderlichen Modalitäten, Methoden oder Pläne erfolgen. Artikel 8 Einreichung von Vorschlägen bei den zuständigen Behörden (1) Die ÜNB legen den jeweils zuständigen Behörden innerhalb der in den Artikeln 18, 23, 29, 33, 34, 35 und 37 festgelegten Fristen die Vorschläge für Modalitäten oder Methoden bzw. für Pläne zur Genehmigung vor. Die zuständigen Behörden können diese Fristen in Ausnahmefällen gemeinsam verlängern, insbesondere wenn eine Frist aufgrund von Umständen außerhalb des Verantwortungsbereichs der ÜNB oder der EU-VNBO nicht eingehalten werden kann. (2) Vorschläge für Modalitäten, Methoden oder bzw. Pläne gemäß Absatz 1 werden zeitgleich mit der Übermittlung an die zuständigen Behörden auch der ACER zur Information vorgelegt. (3) Auf gemeinsames Ersuchen der NRB gibt die ACER innerhalb von sechs Monaten nach Eingang des Vorschlags für Modalitäten oder Methoden oder für die Pläne eine Stellungnahme zu dem Vorschlag ab und übermittelt sie den NRB und den zuständigen Behörden. Die NRB, die CS-NCA und alle anderen als zuständige Behörden benannten Behörden stimmen sich untereinander ab, bevor die NRB die ACER um eine Stellungnahme ersuchen. Die ACER kann in dieser Stellungnahme Empfehlungen abgeben. Die ACER konsultiert die ENISA, bevor sie eine Stellungnahme zu den in Artikel 6 Absatz 2 aufgeführten Vorschlägen abgibt. (4) Die zuständigen Behörden konsultieren einander, arbeiten eng zusammen und stimmen sich untereinander ab, um zu einer Einigung über die vorgeschlagenen Modalitäten, Methoden oder Pläne zu gelangen. Vor der Genehmigung der Modalitäten oder Methoden oder der Pläne überarbeiten und ergänzen sie die Vorschläge nach Konsultation von ENTSO-E und der EU-VNBO erforderlichenfalls, um sicherzustellen, dass die Vorschläge mit dieser Verordnung im Einklang stehen und zu einem hohen gemeinsamen Cybersicherheitsniveau in der gesamten Union beitragen. (5) Die zuständigen Behörden entscheiden über die Modalitäten oder Methoden oder die Pläne innerhalb von sechs Monaten nach Eingang der Modalitäten oder Methoden bzw. der Pläne bei der jeweils zuständigen Behörde oder gegebenenfalls bei der letzten betroffenen zuständigen Behörde. (6) Gibt die ACER eine Stellungnahme ab, so tragen die jeweils zuständigen Behörden dieser Stellungnahme Rechnung und treffen ihre Entscheidungen innerhalb von sechs Monaten nach Eingang der Stellungnahme. (7) Verlangen die zuständigen Behörden für ihre Genehmigung gemeinsam eine Änderung der vorgeschlagenen Modalitäten oder Methoden oder der Pläne, so entwickeln die ÜNB in Zusammenarbeit mit der EU-VNBO einen Vorschlag für eine solche Änderung der Modalitäten oder Methoden bzw. der Pläne. Die ÜNB legen den zuständigen Behörden den geänderten Vorschlag innerhalb von zwei Monaten nach deren Aufforderung zur Genehmigung vor. Die zuständigen Behörden entscheiden über die geänderten Modalitäten oder Methoden oder Pläne innerhalb von zwei Monaten nach deren Vorlage. (8) Konnten die zuständigen Behörden innerhalb der in Absatz 5 oder Absatz 7 genannten Frist keine Einigung erzielen, so unterrichten sie die Kommission. Die Kommission kann geeignete Maßnahmen ergreifen, um die Annahme der erforderlichen Modalitäten, Methoden oder Pläne zu ermöglichen. (9) Die ÜNB veröffentlichen mit Unterstützung von ENTSO-E und der EU-VNBO die Modalitäten oder Methoden oder die Pläne nach der Genehmigung durch die jeweils zuständigen Behörden auf ihren Websites, soweit diese Informationen nicht gemäß Artikel 47 als vertraulich betrachtet werden. (10) Die zuständigen Behörden können von den ÜNB und der EU-VNBO gemeinsam Vorschläge für Änderungen der genehmigten Modalitäten oder Methoden oder der genehmigten Pläne anfordern und eine Frist für die Einreichung dieser Vorschläge festlegen. Die ÜNB können den zuständigen Behörden in Zusammenarbeit mit der EU-VNBO auch auf eigene Initiative Änderungen vorschlagen. Die Vorschläge zur Änderung der Modalitäten oder Methoden bzw. zur Änderung der Pläne werden nach dem Verfahren dieses Artikels entwickelt und genehmigt. (11) Mindestens alle drei Jahre nach der ersten Annahme der jeweiligen Modalitäten oder Methoden bzw. der Annahme der jeweiligen Pläne überprüfen die ÜNB in Zusammenarbeit mit der EU-VNBO die Wirksamkeit der angenommenen Modalitäten oder Methoden bzw. der angenommenen Pläne und teilen den zuständigen Behörden und der ACER die Ergebnisse der Überprüfung unverzüglich mit. Artikel 9 Konsultationen (1) Die ÜNB konsultieren mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO die Interessenträger, einschließlich der ACER, der ENISA und der zuständigen Behörde jedes Mitgliedstaats, zu den Entwürfen von Vorschlägen für die in Artikel 6 Absatz 2 genannten Modalitäten oder Methoden und für die in Artikel 6 Absatz 3 genannten Pläne. Die Konsultation dauert mindestens einen Monat. (2) Die in Artikel 6 Absatz 2 genannten Vorschläge für Modalitäten oder Methoden, die von den ÜNB in Zusammenarbeit mit der EU-VNBO vorgelegt wurden, werden veröffentlicht und auf Unionsebene einer Konsultation unterzogen. Die von den relevanten ÜNB in Zusammenarbeit mit der EU-VNBO auf regionaler Ebene vorgelegten Vorschläge für Pläne gemäß Artikel 6 Absatz 3 werden mindestens auf regionaler Ebene einer Konsultation unterzogen. (3) Die ÜNB, unterstützt von ENTSO-E, und die für den Vorschlag für Modalitäten, Methoden oder Pläne zuständige EU-VNBO tragen den in den gemäß Absatz 1 durchgeführten Konsultationen geäußerten Ansichten der Interessenträger, gebührend Rechnung, bevor sie die Vorschläge zur regulatorischen Genehmigung vorlegen. In allen Fällen ist zusammen mit dem Vorschlag eine fundierte Begründung vorzulegen, weshalb die aus der Konsultation hervorgegangenen Stellungnahmen berücksichtigt bzw. nicht berücksichtigt wurden, und rechtzeitig — vor oder gleichzeitig mit dem Vorschlag für Modalitäten oder Methoden — zu veröffentlichen. Artikel 10 Einbeziehung der Interessenträger Die ACER organisiert in enger Zusammenarbeit mit ENTSO-E und der EU-VNBO die Einbeziehung der Interessenträger, einschließlich regelmäßiger Treffen mit Interessenträgern, um Probleme zu ermitteln und Verbesserungen im Zusammenhang mit der Durchführung dieser Verordnung vorzuschlagen. Artikel 11 Kostenerstattung (1) Die Kosten, die aufgrund der Verpflichtungen aus dieser Verordnung bei ÜNB und VNB anfallen, die der Netzentgeltregulierung unterliegen, einschließlich der Kosten von ENTSO-E und der EU-VNBO, werden von der zuständigen NRB jedes Mitgliedstaats geprüft. (2) Als angemessen, effizient und verhältnismäßig bewertete Kosten werden durch Netzentgelte oder andere geeignete Mechanismen gedeckt, die von der zuständigen NRB festgelegt werden. (3) Auf Verlangen der zuständigen NRB stellen die in Absatz 1 genannten ÜNB und VNB innerhalb einer von der NRB festgelegten angemessenen Frist die erforderlichen Informationen bereit, um die Prüfung der entstandenen Kosten zu erleichtern. Artikel 12 Überwachung (1) Die ACER überwacht die Durchführung dieser Verordnung gemäß Artikel 32 Absatz 1 der Verordnung (EU) 2019/943 und Artikel 4 Absatz 2 der Verordnung (EU) 2019/942. Bei der Durchführung der Überwachung kann die ACER mit der ENISA zusammenarbeiten und ENTSO-E und die EU-VNBO um Unterstützung ersuchen. Die ACER unterrichtet die Koordinierungsgruppe „Strom“ und die NIS-Kooperationsgruppe regelmäßig über die Durchführung dieser Verordnung. (2) Die ACER veröffentlicht nach dem Inkrafttreten dieser Verordnung mindestens alle drei Jahre einen Bericht, um a) den Stand der Umsetzung der anwendbaren Risikomanagementmaßnahmen im Bereich der Cybersicherheit durch Einrichtungen mit erheblichen Auswirkungen und Einrichtungen mit kritischen Auswirkungen zu überprüfen; b) zu ermitteln, ob zur Prävention von Risiken für den Elektrizitätssektor zusätzliche Vorschriften über gemeinsame Anforderungen, Planung, Beobachtung, Berichterstattung und Krisenbewältigung erforderlich sein könnten, und c) Verbesserungsbedarf für die Überarbeitung dieser Verordnung zu bestimmen oder nicht abgedeckte Bereiche und neue Prioritäten zu ermitteln, die sich aufgrund technischer Entwicklungen ergeben können. (3) Bis zum 13 Juni 2025 kann die ACER in Zusammenarbeit mit der ENISA und nach Konsultation von ENTSO-E und der EU-VNBO auf der Grundlage der gemäß Absatz 5 festgelegten Leistungsindikatoren Leitlinien zu den relevanten Informationen, die der ACER zu Überwachungszwecken zu übermitteln sind, sowie zu dem Verfahren und der Häufigkeit der Einholung der Informationen vorlegen. (4) Die zuständigen Behörden können Zugang zu den einschlägigen Informationen erhalten, die sich im Besitz der ACER befinden und gemäß diesem Artikel erhoben wurden. (5) Die ACER legt in Zusammenarbeit mit der ENISA und mit Unterstützung von ENTSO-E und der EU-VNBO in Bezug auf Cybersicherheitsaspekte grenzüberschreitender Stromflüsse unverbindliche Leistungsindikatoren für die Bewertung der betrieblichen Zuverlässigkeit vor. (6) Die in Artikel 2 Absatz 1 dieser Verordnung aufgeführten Einrichtungen übermitteln der ACER die Informationen, die diese zur Wahrnehmung der in Absatz 2 genannten Aufgaben benötigt. Artikel 13 Benchmarking (1) Bis zum 13 Juni 2025 erstellt die ACER in Zusammenarbeit mit der ENISA einen unverbindlichen Leitfaden für das Benchmarking im Bereich der Cybersicherheit. In dem Leitfaden für die NRB werden die Grundsätze des Benchmarkings der durchgeführten Cybersicherheitskontrollen gemäß Absatz 2 erläutert, wobei die Kosten für die Durchführung der Kontrollen und die Wirksamkeit von Prozessen, Produkten, Diensten, Systemen und Lösungen, die zur Durchführung dieser Kontrollen genutzt werden, zu berücksichtigen sind. Die ACER berücksichtigt bei der Erstellung des unverbindlichen Leitfadens für das Benchmarking im Bereich der Cybersicherheit vorhandene Benchmarking-Berichte. Die ACER übermittelt den unverbindlichen Leitfaden für das Benchmarking im Bereich der Cybersicherheit den NRB zur Information. (2) Innerhalb von 12 Monaten nach Erstellung des Benchmarking-Leitfadens gemäß Absatz 1 führen die NRB eine Benchmarking-Analyse durch, um zu bewerten, ob die aktuellen Investitionen in die Cybersicherheit a) Risiken mit Auswirkungen auf grenzüberschreitende Stromflüsse mindern; b) zu den gewünschten Ergebnissen führen und die Effizienz bei der Entwicklung des Elektrizitätssystems verbessern; c) effizient sind und in die allgemeine Auftragsvergabe für Vermögenswerte und Dienstleistungen integriert werden. (3) Bei der Benchmarking-Analyse können die NRB den von der ACER erstellten unverbindlichen Leitfaden für das Benchmarking im Bereich der Cybersicherheit berücksichtigen, wobei sie insbesondere Folgendes bewerten: a) die durchschnittlichen Ausgaben für die Cybersicherheit zur Minderung von Risiken, die sich auf grenzüberschreitende Stromflüsse auswirken, insbesondere bei Einrichtungen mit erheblichen oder kritischen Auswirkungen; b) in Zusammenarbeit mit ENTSO-E und der EU-VNBO die Durchschnittspreise für Cybersicherheitsdienste, -systeme und -produkte, die in hohem Maß zur Verbesserung und Aufrechterhaltung der Risikomanagementmaßnahmen im Bereich der Cybersicherheit in den verschiedenen Netzbetriebsregionen beitragen; c) das Vorhandensein von Cybersicherheitsdiensten, -systemen und -lösungen, die sich für die Durchführung dieser Verordnung eignen, sowie die Vergleichbarkeit der damit verbundenen Kosten und Funktionen, wobei sie mögliche Maßnahmen ermitteln, die zur Verbesserung der Effizienz der Ausgaben erforderlich sind, insbesondere wenn Investitionen in die Cybersicherheitstechnik erforderlich sein könnten. (4) Alle Informationen zu Benchmarking-Analysen werden gemäß den Anforderungen dieser Verordnung an die Datenklassifizierung, die Mindest-Cybersicherheitskontrollen und den Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gehandhabt und verarbeitet. Die in den Absätzen 2 und 3 genannte Benchmarking-Analyse wird nicht veröffentlicht. (5) Unbeschadet der Vertraulichkeitsbestimmungen in Artikel 47 und der Notwendigkeit, die Sicherheit von Einrichtungen zu schützen, die den Bestimmungen dieser Verordnung unterliegen, wird die in den Absätzen 2 und 3 dieses Artikels genannte Benchmarking-Analyse allen NRB, allen zuständigen Behörden, der ACER, der ENISA und der Kommission übermittelt. Artikel 14 Vereinbarungen mit ÜNB von Drittländern (1) Innerhalb von 18 Monaten nach dem Inkrafttreten dieser Verordnung bemühen sich die ÜNB einer Netzbetriebsregion, die an ein Drittland angrenzt, um den Abschluss von Vereinbarungen mit ÜNB des benachbarten Drittlands, die mit dem einschlägigen Unionsrecht im Einklang stehen, die Grundlage für die Zusammenarbeit zum Cybersicherheitsschutz bilden und Regelungen für die Zusammenarbeit mit diesen ÜNB im Bereich der Cybersicherheit enthalten. (2) Die ÜNB unterrichten die zuständige Behörde über die gemäß Absatz 1 geschlossenen Vereinbarungen. Artikel 15 Gesetzlicher Vertreter (1) Einrichtungen, die keine Niederlassung in der Union haben, aber Dienstleistungen für Einrichtungen in der Union erbringen und gemäß Artikel 24 Absatz 6 über ihren Status als Einrichtungen mit erheblichen oder kritischen Auswirkungen unterrichtet wurden, benennen innerhalb von drei Monaten nach der Unterrichtung schriftlich einen Vertreter in der Union und informieren die zuständige Behörde entsprechend. (2) Dieser Vertreter wird beauftragt, zusätzlich zu oder anstelle der Einrichtung mit erheblichen oder kritischen Auswirkungen als Ansprechpartner zu fungieren, an den sich jede zuständige Behörde und jedes CSIRT in der Union in Bezug auf die Verpflichtungen der Einrichtung aus dieser Verordnung wenden kann. Die Einrichtung mit erheblichen oder kritischen Auswirkungen stattet ihren gesetzlichen Vertreter mit den erforderlichen Befugnissen und ausreichenden Ressourcen aus, um eine effiziente und rechtzeitige Zusammenarbeit mit den jeweils zuständigen Behörden oder CSIRTs zu gewährleisten. (3) Der Vertreter muss in einem der Mitgliedstaaten niedergelassen sein, in denen die Einrichtung ihre Dienste anbietet. Die Einrichtung gilt als der gerichtlichen Zuständigkeit des Mitgliedstaats unterliegend, in dem der Vertreter niedergelassen ist. Einrichtungen mit erheblichen oder kritischen Auswirkungen melden der zuständigen Behörde des Mitgliedstaats, in dem ihr gesetzlicher Vertreter ansässig oder niedergelassen ist, den Namen, die Postanschrift, die E-Mail-Adresse und die Telefonnummer des gesetzlichen Vertreters. (4) Der benannte gesetzliche Vertreter kann für Verstöße gegen Pflichten aus dieser Verordnung haftbar gemacht werden; dies berührt nicht die Haftung und die rechtlichen Schritte, die gegen die Einrichtung mit erheblichen oder kritischen Auswirkungen eingeleitet werden können. (5) Wurde in der Union kein Vertreter im Sinne dieses Artikels benannt, kann jeder Mitgliedstaat, in dem die Einrichtung Dienstleistungen erbringt, gegen die Einrichtung rechtliche Schritte wegen Verstößen gegen Pflichten aus dieser Verordnung einleiten. (6) Die Benennung eines gesetzlichen Vertreters in der Union gemäß Absatz 1 gilt nicht als Niederlassung in der Union. Artikel 16 Zusammenarbeit zwischen ENTSO-E und der EU-VNBO (1) ENTSO-E und die EU-VNBO arbeiten bei der Durchführung der Bewertungen des Cybersicherheitsrisikos gemäß Artikel 19 und Artikel 21 zusammen, insbesondere bei den folgenden Aufgaben: a) Entwicklung der Methoden zur Bewertung des Cybersicherheitsrisikos gemäß Artikel 18 Absatz 1; b) Erstellung des umfassenden Berichts über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gemäß Artikel 23; c) Entwicklung des gemeinsamen Rahmens für die Cybersicherheit im Elektrizitätssektor gemäß Kapitel III; d) Erstellung der Empfehlung für die Cybersicherheit bei der Auftragsvergabe gemäß Artikel 35; e) Entwicklung der Klassifizierungsmethode für Cyberangriffe gemäß Artikel 37 Absatz 8; f) Entwicklung des vorläufigen Index für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor (ECII) gemäß Artikel 48 Absatz 1 Buchstabe a; g) Erstellung der konsolidierten vorläufigen Liste der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 48 Absatz 3; h) Erstellung der vorläufigen Liste der unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen gemäß Artikel 48 Absatz 4; i) Erstellung der vorläufigen Liste europäischer und internationaler Normen und Kontrollen gemäß Artikel 48 Absatz 6; j) Durchführung der unionsweiten Bewertung des Cybersicherheitsrisikos gemäß Artikel 19; k) Durchführung der regionalen Bewertung des Cybersicherheitsrisikos gemäß Artikel 21; l) Festlegung der regionalen Pläne zur Minderung des Cybersicherheitsrisikos gemäß Artikel 22; m) Entwicklung von Leitlinien für europäische Schemata für die Cybersicherheitszertifizierung von IKT-Produkten, -Diensten und -Prozessen gemäß Artikel 36; n) Entwicklung von Leitlinien für die Durchführung dieser Verordnung, in Absprache mit der ACER und der ENISA. (2) Die Zusammenarbeit zwischen ENTSO-E und der EU-VNBO kann über eine Arbeitsgruppe für Cybersicherheitsrisiken erfolgen. (3) ENTSO-E und die EU-VNBO unterrichten die ACER, die ENISA, die NIS-Kooperationsgruppe und die Koordinierungsgruppe „Strom“ regelmäßig über die Fortschritte bei der Umsetzung der unionsweiten und regionalen Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 und Artikel 21. Artikel 17 Zusammenarbeit zwischen der ACER und den zuständigen Behörden Die ACER überwacht in Zusammenarbeit mit jeder zuständigen Behörde (1) die Umsetzung der Risikomanagementmaßnahmen im Bereich der Cybersicherheit gemäß Artikel 12 Absatz 2 Buchstabe a und der Berichterstattungspflichten gemäß den Artikeln 27 und 39 sowie (2) das Verfahren zur Annahme der Modalitäten, Methoden oder Pläne gemäß Artikel 6 Absätze 2 und 3 und deren Umsetzung. Die Zusammenarbeit zwischen der ACER, der ENISA und jeder zuständigen Behörde kann über ein Gremium zur Überwachung von Cybersicherheitsrisiken erfolgen. KAPITEL II RISIKOBEWERTUNG UND ERMITTLUNG DER RELEVANTEN CYBERSICHERHEITSRISIKEN Artikel 18 Methoden zur Bewertung des Cybersicherheitsrisikos (1) Bis zum 13 März 2025 legen die ÜNB mit Unterstützung von ENTSO-E sowie in Zusammenarbeit mit der EU-VNBO und nach Konsultation der NIS-Kooperationsgruppe einen Vorschlag für die Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf der Ebene der Mitgliedstaaten vor. (2) Die Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf der Ebene der Mitgliedstaaten müssen Folgendes umfassen: a) eine Liste der zu berücksichtigenden Cyberbedrohungen, einschließlich mindestens der folgenden Bedrohungen der Lieferkette: i) schwere und unerwartete Kompromittierung der Lieferkette; ii) Nichtverfügbarkeit von IKT-Produkten, -Diensten oder -Prozessen aus der Lieferkette; iii) von Akteuren in der Lieferkette ausgelöste Cyberangriffe; iv) Weitergabe sensibler Informationen durch die Lieferkette, einschließlich der Nachverfolgung der Lieferkette; v) Einführung von Schwachstellen oder Hintertüren in IKT-Produkten, -Diensten oder -Prozessen durch Akteure in der Lieferkette; b) die Kriterien für die Einstufung der Auswirkungen von Cybersicherheitsrisiken als erheblich oder kritisch, wobei festgelegte Schwellenwerte für deren Folgen und Wahrscheinlichkeit zu nutzen sind; c) einen Ansatz zur Analyse der Cybersicherheitsrisiken, die sich aus Altsystemen, den Kaskadeneffekten von Cyberangriffen und dem Echtzeitcharakter der Netzbetriebssysteme ergeben; d) einen Ansatz zur Analyse der Cybersicherheitsrisiken, die sich aus der Abhängigkeit von einem einzigen Anbieter von IKT-Produkten, -Diensten oder -Prozessen ergeben. (3) Die Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf der Ebene der Mitgliedstaaten müssen dieselbe Risiko-Auswirkungs-Matrix umfassen. Mit der Risiko-Auswirkungs-Matrix a) werden die Folgen von Cyberangriffen anhand folgender Kriterien gemessen: i) Lastverlust; ii) Verringerung der Stromerzeugung; iii) Kapazitätsverlust in der primären Frequenzreserve; iv) Verlust von Kapazitäten für die Wiederherstellung des Betriebs eines Stromnetzes ohne Rückgriff auf das externe Übertragungsnetz nach einer vollständigen oder teilweisen Abschaltung („Schwarzstart“); v)