Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

eit der verschiedenen Kontrollen mit den in Artikel 28 Absatz 1 Buchstaben a und b genannten Kontrollen. (2) Die zuständigen Behörden können ENTSO-E und der EU-VNBO einen Vergleich der in Artikel 28 Absatz 1 Buchstaben a und b genannten Kontrollen mit dem entsprechenden nationalen Rechts- und Verwaltungsrahmen, einschließlich der einschlägigen nationalen Normen der Mitgliedstaaten gemäß Artikel 25 der Richtlinie (EU) 2022/2555, übermitteln. Stellt die zuständige Behörde eines Mitgliedstaats einen solchen Vergleich bereit, so integrieren ENTSO-E und die EU-VNBO diesen nationalen Vergleich in die Vergleichsmatrix. (3) Innerhalb von sechs Monaten nach Erstellung jedes Berichts über die regionale Bewertung des Cybersicherheitsrisikos gemäß Artikel 21 Absatz 2 schlagen die ÜNB mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO sowie in Absprache mit der ENISA der zuständigen Behörde eine Änderung der Vergleichsmatrix vor. Der Vorschlag wird im Einklang mit Artikel 8 Absatz 10 vorgelegt und muss den in der regionalen Risikobewertung ermittelten Risiken Rechnung tragen. KAPITEL IV EMPFEHLUNGEN FÜR DIE CYBERSICHERHEIT BEI DER AUFTRAGSVERGABE Artikel 35 Empfehlungen für die Cybersicherheit bei der Auftragsvergabe (1) Die ÜNB entwickeln mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO in einem Arbeitsprogramm, das jedes Mal bei der Annahme eines Berichts über die regionale Bewertung des Cybersicherheitsrisikos erstellt und aktualisiert wird, eine Reihe von unverbindlichen Empfehlungen für die Cybersicherheit bei der Auftragsvergabe, die Einrichtungen mit erheblichen oder kritischen Auswirkungen als Grundlage für die Beschaffung von IKT-Produkten, -Diensten und -Prozessen in den Perimetern mit erheblichen oder kritischen Auswirkungen nutzen können. Dieses Arbeitsprogramm umfasst a) eine Beschreibung und Klassifizierung der Arten von IKT-Produkten, -Diensten und -Prozessen, die von Einrichtungen mit erheblichen oder kritischen Auswirkungen in ihrem Perimeter mit erheblichen oder kritischen Auswirkungen verwendet werden; b) eine Liste der Arten von IKT-Produkten, -Diensten und -Prozessen, für die eine Reihe unverbindlicher Cybersicherheitsempfehlungen auf der Grundlage der einschlägigen Berichte über die regionale Bewertung des Cybersicherheitsrisikos und der Prioritäten von Einrichtungen mit erheblichen oder kritischen Auswirkungen zu erstellen sind. (2) ENTSO-E übermittelt der ACER in Zusammenarbeit mit der EU-VNBO innerhalb von sechs Monaten nach Annahme oder Aktualisierung des Berichts über die regionale Bewertung des Cybersicherheitsrisikos eine Zusammenfassung dieses Arbeitsprogramms. (3) Die ÜNB bemühen sich mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO sicherzustellen, dass die auf der Grundlage der einschlägigen regionalen Bewertung des Cybersicherheitsrisikos entwickelten unverbindlichen Empfehlungen für die Cybersicherheit bei der Auftragsvergabe in allen Netzbetriebsregionen ähnlich oder vergleichbar sind. Die Empfehlungen für die Cybersicherheit bei der Auftragsvergabe müssen mindestens die in Artikel 33 Absatz 2 Buchstabe a genannten Spezifikationen umfassen. Soweit möglich, werden die Spezifikationen aus europäischen und internationalen Normen ausgewählt. (4) Die ÜNB stellen mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO sicher, dass die Empfehlungen für die Cybersicherheit bei der Auftragsvergabe a) den Grundsätzen der Auftragsvergabe aus der Richtlinie 2014/24/EU entsprechen und b) mit den neuesten verfügbaren europäischen Schemata für die Cybersicherheitszertifizierung, die für das IKT-Produkt, den IKT-Dienst oder den IKT-Prozess relevant sind, vereinbar sind und diesen Rechnung tragen. Artikel 36 Leitlinien für die Nutzung europäischer Schemata für die Cybersicherheitszertifizierung bei der Beschaffung von IKT-Produkten, -Diensten und -Prozessen (1) Unbeschadet des Rahmens für die Schaffung europäischer Schemata für die Cybersicherheitszertifizierung gemäß Artikel 46 der Verordnung (EU) 2019/881 können die gemäß Artikel 35 entwickelten unverbindlichen Empfehlungen für die Cybersicherheit bei der Auftragsvergabe sektorspezifische Leitlinien für die Verwendung europäischer Schemata für die Cybersicherheitszertifizierung umfassen, wenn für eine von Einrichtungen mit kritischen Auswirkungen verwendete Art von IKT-Produkten, -Diensten oder -Prozessen ein geeignetes Schema zur Verfügung steht. (2) Die ÜNB arbeiten mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO eng mit der ENISA zusammen, um die sektorspezifischen Leitlinien bereitzustellen, die in den unverbindlichen Empfehlungen für die Cybersicherheit bei der Auftragsvergabe gemäß Absatz 1 enthalten sind. KAPITEL V INFORMATIONSFLÜSSE, CYBERANGRIFFE UND KRISENMANAGEMENT Artikel 37 Vorschriften für den Informationsaustausch (1) Erhält eine zuständige Behörde Informationen über einen meldepflichtigen Cyberangriff, a) bewertet sie den Grad der Vertraulichkeit dieser Informationen und unterrichtet die Einrichtung unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Eingang der Informationen, über das Ergebnis ihrer Bewertung; b) versucht sie, andere ähnliche Cyberangriffe in der Union zu ermitteln, die anderen zuständigen Behörden gemeldet wurden, um die zu dem meldepflichtigen Cyberangriff eingegangenen Informationen mit Informationen zu vergleichen, die zu anderen Cyberangriffen bereitgestellt wurden, und um vorhandene Informationen zu ergänzen sowie die Reaktion im Bereich der Cybersicherheit zu stärken und zu koordinieren; c) ist sie für die Entfernung von Geschäftsgeheimnissen und die Anonymisierung der Informationen im Einklang mit den einschlägigen nationalen Vorschriften und Unionsvorschriften verantwortlich; d) übermittelt sie die Informationen unverzüglich, spätestens jedoch 24 Stunden nach Eingang der Informationen über einen meldepflichtigen Cyberangriff, den nationalen zentralen Anlaufstellen, den CSIRTs und allen gemäß Artikel 4 benannten zuständigen Behörden anderer Mitgliedstaten und stellt diesen Behörden oder Stellen regelmäßig aktualisierte Informationen zur Verfügung; e) übermittelt sie die Informationen über den Cyberangriff nach Anonymisierung und Entfernung von Geschäftsgeheimnissen gemäß Absatz 1 Buchstabe c unverzüglich, spätestens jedoch 24 Stunden nach Eingang der Informationen gemäß Absatz 1 Buchstabe a, den Einrichtungen mit kritischen oder erheblichen Auswirkungen in ihrem Mitgliedstaat und stellt regelmäßig aktualisierte Informationen bereit, um den Einrichtungen einen wirksamen Schutz zu ermöglichen; f) kann sie die meldende Einrichtung mit erheblichen oder kritischen Auswirkungen auffordern, die meldepflichtigen Informationen über Cyberangriffe auf sichere Weise an andere möglicherweise betroffene Einrichtungen weiterzuleiten, um den Elektrizitätssektor für die Lage zu sensibilisieren und zu verhindern, dass ein Risiko eintritt, das dort zu einem grenzüberschreitenden Cybersicherheitsvorfall eskalieren könnte; g) übermittelt sie der ENISA nach Anonymisierung und Entfernung von Geschäftsgeheimnissen einen zusammenfassenden Bericht mit den Informationen zu dem Cyberangriff. (2) Erhält ein CSIRT Kenntnis von einer aktiv ausgenutzten Schwachstelle ohne Patch, so a) teilt es diese der ENISA unverzüglich über einen geeigneten Kanal für den sicheren Informationsaustausch mit, sofern in anderen Rechtsvorschriften der Union nichts anderes bestimmt ist; b) unterstützt es die betroffene Einrichtung dabei, vom Hersteller oder Anbieter eine wirksame, koordinierte und rasche Behandlung der aktiv ausgenutzten Schwachstelle ohne Patch oder wirksame und effiziente Abhilfemaßnahmen zu erhalten; c) tauscht es die verfügbaren Informationen mit dem Verkäufer aus und fordert den Hersteller oder Anbieter auf, möglichst eine Liste der CSIRTs in den Mitgliedstaaten vorzulegen, die von der aktiv ausgenutzten Schwachstelle ohne Patch betroffen sind und informiert werden müssen; d) tauscht es verfügbare Informationen nach dem Grundsatz „Kenntnis nur, wenn nötig“ mit den unter obigem Buchstaben genannten CSIRTs aus; e) stellt es Informationen über etwaige vorhandene Abhilfestrategien und -maßnahmen in Bezug auf die aktiv ausgenutzte Schwachstelle ohne Patch bereit. (3) Erhält eine zuständige Behörde Kenntnis von einer aktiv ausgenutzten Schwachstelle ohne Patch, so a) informiert sie in Abstimmung mit den CSIRTs in ihrem Mitgliedstaat über etwaige vorhandene Abhilfestrategien und -maßnahmen in Bezug auf die aktiv ausgenutzte Schwachstelle ohne Patch; b) übermittelt sie die Informationen an ein CSIRT in dem Mitgliedstaat, in dem die aktiv ausgenutzte Schwachstelle ohne Patch gemeldet wurde. (4) Erhält die zuständige Behörde Kenntnis von einer Schwachstelle ohne Patch, in Bezug auf die keine Beweise für eine aktive Ausnutzung vorliegen, stimmt sie sich unverzüglich mit dem CSIRT im Hinblick auf eine koordinierte Offenlegung von Schwachstellen gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 ab. (5) Erhält ein CSIRT gemäß Artikel 38 Absatz 6 von einer oder mehreren Einrichtungen mit erheblichen oder kritischen Auswirkungen Informationen in Bezug auf Cyberbedrohungen, so leitet es diese oder andere Informationen, die für die Verhütung, Erkennung, Behandlung oder Minderung des damit verbundenen Risikos von Bedeutung sind, an die Einrichtungen mit kritischen oder erheblichen Auswirkungen in seinem Mitgliedstaat und gegebenenfalls an alle betroffenen CSIRTs und seine nationale zentralen Anlaufstelle unverzüglich, spätestens jedoch vier Stunden nach Eingang der Informationen, weiter. (6) Erhält eine zuständige Behörde von einer oder mehreren Einrichtungen mit erheblichen oder kritischen Auswirkungen Informationen über Cyberbedrohungen, so leitet sie diese Informationen für die Zwecke des Absatzes 5 an das CSIRT weiter. (7) Die zuständigen Behörden können die Zuständigkeiten nach den Absätzen 3 und 4 in Bezug auf eine oder mehrere Einrichtungen mit erheblichen oder kritischen Auswirkungen, die in mehr als einem Mitgliedstaat tätig sind, ganz oder teilweise an eine andere zuständige Behörde in einem dieser Mitgliedstaaten delegieren, sofern sich die betroffenen zuständigen Behörden darauf geeinigt haben. (8) Die ÜNB entwickeln mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO bis zum 13 Juni 2025 eine Klassifizierungsmethode für Cyberangriffe. Die ÜNB können mit Unterstützung von ENTSO-E und der EU-VNBO die zuständigen Behörden ersuchen, die ENISA und ihre für Cybersicherheit zuständigen Behörden zur Unterstützung bei der Entwicklung einer solchen Klassifizierungsskala zu konsultieren. Die Methode muss fünf Stufen für die Schwere eines Cyberangriffs enthalten, wobei „erheblich“ und „kritisch“ die höchsten Stufen darstellen. Die Klassifizierung muss sich auf die Bewertung der folgenden Parameter stützen: a) die potenziellen Auswirkungen unter Berücksichtigung der gemäß Artikel 26 Absatz 4 Buchstabe c ermittelten exponierten Vermögenswerte und Perimeter und b) die Schwere des Cyberangriffs. (9) Bis zum 13 Juni 2026 führt ENTSO-E in Zusammenarbeit mit der EU-VNBO eine Machbarkeitsstudie hinsichtlich der Möglichkeit durch, ein gemeinsames Instrument zu entwickeln, das es allen Einrichtungen ermöglicht, Informationen mit den zuständigen nationalen Behörden auszutauschen, und prüft die damit verbundenen finanziellen Kosten. (10) In der Machbarkeitsstudie wird die Möglichkeit geprüft, ein solches gemeinsames Instrument a) zu nutzen, um Einrichtungen mit kritischen oder erheblichen Auswirkungen durch einschlägige sicherheitsrelevante Informationen für den Betrieb grenzüberschreitender Stromflüsse zu unterstützen, z. B. durch echtzeitnahe Berichterstattung über Cyberangriffe, Frühwarnungen im Zusammenhang mit Cybersicherheitsfragen und nicht offengelegten Schwachstellen von Geräten, die im Elektrizitätssystem eingesetzt werden; b) in einem geeigneten und äußerst vertrauenswürdigen Umfeld zu pflegen; c) zu nutzen, um Daten bei Einrichtungen mit kritischen oder erheblichen Auswirkungen zu erheben und die Entfernung vertraulicher Informationen und die Anonymisierung der Daten zu unterstützen und diese unverzüglich an Einrichtungen mit kritischen oder erheblichen Auswirkungen weiterzuleiten. (11) In Zusammenarbeit mit der EU-VNBO a) konsultiert ENTSO-E bei der Machbarkeitsstudie die ENISA und die NIS-Kooperationsgruppe, die nationalen zentralen Anlaufstellen und die Vertreter der wichtigsten Interessenträger; b) legt ENTSO-E die Ergebnisse der Machbarkeitsstudie der ACER und der NIS-Kooperationsgruppe vor. (12) ENTSO-E kann in Zusammenarbeit mit der EU-VNBO Initiativen analysieren und unterstützen, die von Einrichtungen mit kritischen oder erheblichen Auswirkungen vorgeschlagen werden, um solche Instrumente für den Informationsaustausch zu bewerten und zu testen. Artikel 38 Aufgaben von Einrichtungen mit erheblichen oder kritischen Auswirkungen beim Informationsaustausch (1) Jede Einrichtung mit erheblichen oder kritischen Auswirkungen a) richtet für alle Vermögenswerte innerhalb ihres gemäß Artikel 26 Absatz 4 Buchstabe c bestimmten Cybersicherheitsperimeters mindestens die CSOC-Kapazitäten ein, um i) sicherzustellen, dass die einschlägigen Netz- und Informationssysteme und -anwendungen Sicherheitsprotokolle für die Sicherheitsüberwachung umfassen, damit Anomalien erkannt und Informationen über Cyberangriffe erhoben werden können; ii) die Sicherheitsüberwachung durchzuführen, einschließlich der Erkennung eines Eindringens und der Bewertung von Schwachstellen von Netz- und Informationssystemen; iii) zu analysieren und erforderlichenfalls im Rahmen ihrer Zuständigkeit und Kapazitäten alle für den Schutz der Einrichtung erforderlichen Maßnahmen zu ergreifen; iv) sich an der in diesem Artikel beschriebenen Erhebung und Weitergabe von Informationen zu beteiligen; b) ist berechtigt, sich diese Kapazitäten gemäß Buchstabe a ganz oder teilweise über MSSP zu beschaffen. Einrichtungen mit kritischen oder erheblichen Auswirkungen bleiben für die MSSP verantwortlich und überwachen deren Bemühungen; c) benennt für den Informationsaustausch eine zentrale Anlaufstelle auf Ebene der Einrichtung. (2) Die ENISA kann im Rahmen der in Artikel 6 Absatz 2 der Verordnung (EU) 2019/881 festgelegten Aufgabe unverbindliche Leitlinien für die Einrichtung solcher Kapazitäten oder die Vergabe von Unteraufträgen an MSSP für die Erbringung des Dienstes herausgeben. (3) Jede Einrichtung mit kritischen oder erheblichen Auswirkungen teilt ihren CSIRTs und der für sie zuständigen Behörde relevante Informationen im Zusammenhang mit einem meldepflichtigen Cyberangriff unverzüglich, spätestens jedoch vier Stunden, nachdem ihr bekannt wurde, dass der Sicherheitsvorfall meldepflichtig ist, mit. (4) Informationen im Zusammenhang mit einem Cyberangriff gelten als meldepflichtig, wenn der Cyberangriff bei der Bewertung durch die betroffene Einrichtung nach der Klassifizierungsmethode für Cyberangriffe gemäß Artikel 37 Absatz 8 als „erheblich“ bis „kritisch“ eingestuft wird. Die gemäß Absatz 1 Buchstabe c benannte zentrale Anlaufstelle auf Ebene der Einrichtung teilt die Einstufung des Sicherheitsvorfalls mit. (5) Übermitteln Einrichtungen mit kritischen oder erheblichen Auswirkungen relevante Informationen zu aktiv ausgenutzten Schwachstellen ohne Patch an ein CSIRT, so kann dieses diese Informationen an die für das CSIRT zuständige Behörde weiterleiten. Je nach Sensibilität der gemeldeten Informationen kann das CSIRT die Informationen aus triftigen cybersicherheitsbezogenen Gründen zurückhalten oder zeitverzögert übermitteln. (6) Jede Einrichtung mit kritischen oder erheblichen Auswirkungen stellt ihren CSIRTs unverzüglich alle Informationen im Zusammenhang mit einer meldepflichtigen Cyberbedrohung bereit, die grenzüberschreitende Auswirkungen haben könnte. Informationen im Zusammenhang mit einer Cyberbedrohung gelten als meldepflichtig, wenn mindestens eine der folgenden Bedingungen erfüllt ist: a) Sie umfassen relevante Informationen für die Verhütung, Erkennung, Behandlung oder Minderung der Auswirkungen des Risikos durch andere Einrichtungen mit kritischen oder erheblichen Auswirkungen; b) die ermittelten, im Zusammenhang mit einem Angriff genutzten Vorgehensweisen, Taktiken und Verfahren sind mit Informationen wie kompromittierten URL-Adressen oder IP-Adressen, Hashs oder anderen Attributen verbunden, die für die Kontextualisierung und Zuordnung des Angriffs nützlich sind; c) eine Cyberbedrohung kann weiter bewertet und mit zusätzlichen Informationen verknüpft werden, die von Dienstanbietern oder Dritten, die nicht dieser Verordnung unterliegen, bereitgestellt werden. (7) Jede Einrichtung mit kritischen oder erheblichen Auswirkungen gibt beim Austausch von Informationen gemäß diesem Artikel an, a) dass die Informationen gemäß dieser Verordnung übermittelt werden; b) ob die Informationen Folgendes betreffen: i) einen meldepflichtigen Cyberangriff gemäß Absatz 3; ii) nicht öffentlich bekannte aktiv ausgenutzte Schwachstellen ohne Patch gemäß Absatz 4; iii) eine meldepflichtige Cyberbedrohung gemäß Absatz 5; c) im Falle eines meldepflichtigen Cyberangriffs, welchen Grad der Cyberangriff nach der in Artikel 37 Absatz 8 genannten Klassifizierungsmethode für Cyberangriffe aufweist und welche Informationen zu dieser Einstufung geführt haben, einschließlich mindestens der Kritikalität des Cyberangriffs. (8) Meldet eine Einrichtung mit kritischen oder erheblichen Auswirkungen einen erheblichen Sicherheitsvorfall gemäß Artikel 23 der Richtlinie (EU) 2022/2555 und enthält die Meldung des Sicherheitsvorfalls nach dem genannten Artikel einschlägige Informationen gemäß Absatz 3 des vorliegenden Artikels, so gilt die Meldung der Einrichtung nach Artikel 23 Absatz 1 der genannten Richtlinie auch als Meldung von Informationen gemäß Absatz 3 des vorliegenden Artikels. (9) Jede Einrichtung mit kritischen oder erheblichen Auswirkungen erstattet der für sie zuständigen Behörde oder dem CSIRT Bericht, wobei sie klar angibt, welche Informationen nur an die zuständige Behörde oder das CSIRT übermittelt werden dürfen, wenn der Informationsaustausch die Quelle eines Cyberangriffs sein könnte. Jede Einrichtung mit kritischen oder erheblichen Auswirkungen hat das Recht, dem zuständigen CSIRT eine nichtvertrauliche Fassung der Informationen zur Verfügung zu stellen. Artikel 39 Erkennung von Cyberangriffen und Umgang mit den damit zusammenhängenden Informationen (1) Einrichtungen mit erheblichen oder kritischen Auswirkungen entwickeln mit der erforderlichen Unterstützung der jeweils zuständigen Behörde, von ENTSO-E und der EU-VNBO die erforderlichen Kapazitäten für den Umgang mit entdeckten Cyberangriffen. Einrichtungen mit kritischen oder erheblichen Auswirkungen können von dem CSIRT unterstützt werden, das in ihrem jeweiligen Mitgliedstaat im Rahmen der den CSIRTs gemäß Artikel 11 Absatz 5 Buchstabe a der Richtlinie (EU) 2022/2555 übertragenen Aufgabe benannt wurde. Einrichtungen mit kritischen oder erheblichen Auswirkungen setzen wirksame Verfahren zur Ermittlung, Klassifizierung und Bewältigung von Cyberangriffen ein, die sich auf grenzüberschreitende Stromflüsse auswirken oder auswirken könnten, um deren Auswirkungen möglichst gering zu halten. (2) Hat ein Cyberangriff Auswirkungen auf grenzüberschreitende Stromflüsse, so arbeiten die zentralen Anlaufstellen auf Ebene der betroffenen Einrichtungen mit kritischen oder erheblichen Auswirkungen zusammen, um Informationen untereinander auszutauschen, wobei sie von der zuständigen Behörde des Mitgliedstaats, in dem der Cyberangriff zuerst gemeldet wurde, koordiniert werden. (3) Einrichtungen mit kritischen oder erheblichen Auswirkungen a) stellen sicher, dass ihre eigene zentrale Anlaufstelle auf Ebene der Einrichtung nach dem Grundsatz „Kenntnis nur, wenn nötig“ Zugang zu den Informationen hat, die sie von der nationalen zentralen Anlaufstelle über ihre zuständige Behörde erhalten hat; b) übermitteln, sofern dies nicht bereits gemäß Artikel 3 Absatz 4 der Richtlinie (EU) 2022/2555 geschehen ist, der zuständigen Behörde des Mitgliedstaats, in dem sie niedergelassen sind, und der nationalen zentralen Anlaufstelle eine Liste ihrer für die Cybersicherheit zuständigen zentralen Anlaufstellen, i) von denen die zuständige Behörde und die nationale zentrale Anlaufstelle Informationen über meldepflichtige Cyberangriffe erhalten könnte; ii) an die die zuständigen Behörden und die nationalen zentralen Anlaufstellen gegebenenfalls Informationen übermitteln müssen; c) richten auf der Grundlage der beobachtbaren Entwicklung des Cyberangriffs innerhalb der Perimeter mit kritischen oder erheblichen Auswirkungen Verfahren zur Bewältigung von Cyberangriffen ein, einschließlich Rollen und Zuständigkeiten, Aufgaben und Reaktionen; d) testen mindestens einmal jährlich alle Verfahren zur Bewältigung von Cyberangriffen, wobei sie mindestens ein Szenario testen, das sich direkt oder indirekt auf grenzüberschreitende Stromflüsse auswirkt. Dieser jährliche Test kann von Einrichtungen mit kritischen oder erheblichen Auswirkungen während der regelmäßigen Übungen gemäß Artikel 43 durchgeführt werden. Jede Live-Reaktionsmaßnahme auf einen Cyberangriff mit einer Folge, die gemäß der in Artikel 37 Absatz 8 genannten Klassifizierungsmethode für Cyberangriffe mindestens in die Stufe 2 eingestuft wird und der eine Cybersicherheitsursache zugrunde liegt, kann als jährlicher Test des Plans für die Reaktion auf Cyberangriffe betrachtet werden. (4) Die in Absatz 1 aufgeführten Aufgaben können von den Mitgliedstaaten gemäß Artikel 37 Absatz 2 der Verordnung (EU) 2019/943 auch an die regionalen Koordinierungszentren delegiert werden. Artikel 40 Krisenmanagement (1) Stellt die zuständige Behörde fest, dass eine Stromversorgungskrise im Zusammenhang mit einem Cyberangriff steht, der Auswirkungen auf mehr als einen Mitgliedstaat hat, setzen die zuständigen Behörden der betroffenen Mitgliedstaaten, die CS-NCA, die RP-NCA und die NIS-Behörden für das Cyberkrisenmanagement der betroffenen Mitgliedstaaten gemeinsam eine Ad-hoc-Koordinierungsgruppe für grenzüberschreitende Krisen ein. (2) Die Ad-hoc-Koordinierungsgruppe für grenzüberschreitende Krisen a) koordiniert eine effiziente Einholung aller relevanten Cybersicherheitsinformationen und deren weitere Übermittlung an die am Krisenmanagementprozess beteiligten Einrichtungen; b) organisiert die Kommunikation zwischen allen von der Krise betroffenen Einrichtungen und den zuständigen Behörden, um Überschneidungen zu verringern und die Effizienz der Analysen und technischen Reaktionen zur Bewältigung zeitgleich auftretender Stromversorgungskrisen, denen eine Cybersicherheitsursache zugrunde liegt, zu erhöhen; c) stellt in Zusammenarbeit mit den zuständigen CSIRTs das erforderliche Fachwissen bereit, einschließlich operativer Beratung bei der Umsetzung möglicher Abhilfemaßnahmen für die von dem Sicherheitsvorfall betroffenen Einrichtungen; d) unterrichtet die Kommission und die Koordinierungsgruppe „Strom“ im Einklang mit den in Artikel 46 festgelegten Schutzprinzipien über den Stand des Sicherheitsvorfalls und aktualisiert diese Informationen regelmäßig; e) holt Rat bei den zuständigen Behörden, Agenturen oder Einrichtungen ein, die zur Bewältigung der Stromversorgungskrise beitragen könnten. (3) Gilt der Cyberangriff als Cybersicherheitsvorfall großen Ausmaßes oder wird dies erwartet, unterrichtet die Ad-hoc-Koordinierungsgruppe für grenzüberschreitende Krisen unverzüglich die nationalen Behörden für das Cyberkrisenmanagement gemäß Artikel 9 Absatz 1 der Richtlinie (EU) 2022/2555 in den von dem Sicherheitsvorfall betroffen