Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

02024R1366 — DE — 14.09.2025 — 001.003 Dieser Text dient lediglich zu Informationszwecken und hat keine Rechtswirkung. Die EU-Organe übernehmen keine Haftung für seinen Inhalt. Verbindliche Fassungen der betreffenden Rechtsakte einschließlich ihrer Präambeln sind nur die im Amtsblatt der Europäischen Union veröffentlichten und auf EUR-Lex verfügbaren Texte. Diese amtlichen Texte sind über die Links in diesem Dokument unmittelbar zugänglich ►B DELEGIERTE VERORDNUNG (EU) 2024/1366 DER KOMMISSION vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse (Text von Bedeutung für den EWR) (ABl. L 1366 vom 24.5.2024, S. 1) Geändert durch: Amtsblatt Nr. Seite Datum ►M1 DELEGIERTE VERORDNUNG (EU) 2025/1759 DER KOMMISSION vom 19. Juni 2025 L 1759 1 25.8.2025 Berichtigt durch: ►C1 Berichtigung, ABl. L 90383 vom 19.5.2026, S. 1 ((EU) 2024/13662024/1366) ▼B DELEGIERTE VERORDNUNG (EU) 2024/1366 DER KOMMISSION vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse (Text von Bedeutung für den EWR) KAPITEL I ALLGEMEINE BESTIMMUNGEN Artikel 1 Gegenstand Diese Verordnung enthält einen Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse, einschließlich Vorschriften über gemeinsame Mindestanforderungen, Planung, Beobachtung, Berichterstattung und die Krisenbewältigung. Artikel 2 Anwendungsbereich (1) Diese Verordnung gilt für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse bei den Tätigkeiten der folgenden Einrichtungen, soweit diese gemäß Artikel 24 als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft werden: a) Elektrizitätsunternehmen im Sinne des Artikels 2 Nummer 57 der Richtlinie (EU) 2019/944; b) nominierte Strommarktbetreiber (NEMOs) im Sinne des Artikels 2 Nummer 8 der Verordnung (EU) 2019/943; c) organisierte Marktplätze oder organisierte Märkte im Sinne des Artikels 2 Nummer 4 der Durchführungsverordnung (EU) Nr. 1348/2014 der Kommission ( 1 ), die Transaktionen mit Produkten arrangieren, die für grenzüberschreitende Stromflüsse relevant sind; d) Anbieter kritischer IKT-Dienste im Sinne des Artikels 3 Nummer 9 dieser Verordnung; e) ENTSO-E, das gemäß Artikel 28 der Verordnung (EU) 2019/943 eingerichtet wurde; f) die EU-VNBO, die gemäß Artikel 52 der Verordnung (EU) 2019/943 eingerichtet wurde; g) Bilanzkreisverantwortliche im Sinne des Artikels 2 Nummer 14 der Verordnung (EU) 2019/943; h) Betreiber von Ladepunkten im Sinne des Anhangs I der Richtlinie (EU) 2022/2555; i) regionale Koordinierungszentren (RCC) gemäß Artikel 35 der Verordnung (EU) 2019/943; j) Anbieter verwalteter Sicherheitsdienste (MSSP) gemäß Artikel 6 Nummer 40 der Richtlinie (EU) 2022/2555; k) alle sonstigen Einrichtungen oder Dritte, denen gemäß dieser Verordnung Zuständigkeiten übertragen oder zugewiesen werden. (2) Die folgenden Behörden sind im Rahmen ihres derzeitigen Auftrags für die Wahrnehmung der in dieser Verordnung festgelegten Aufgaben zuständig: a) die mit der Verordnung (EU) 2019/942 des Europäischen Parlaments und des Rates ( 2 ) eingerichtete Agentur der Europäischen Union für die Zusammenarbeit der Energieregulierungsbehörden (ACER); b) die nationalen zuständigen Behörden, die für die Wahrnehmung der ihnen gemäß dieser Verordnung übertragenen Aufgaben verantwortlich sind und von den Mitgliedstaaten gemäß Artikel 4 als „zuständige Behörde“ benannt wurden; c) die gemäß Artikel 57 Absatz 1 der Richtlinie (EU) 2019/944 benannten nationalen Regulierungsbehörden (NRB) der einzelnen Mitgliedstaaten; d) die gemäß Artikel 3 der Verordnung (EU) 2019/941 benannten für die Risikovorsorge zuständigen Behörden (RP-NCA); e) die gemäß Artikel 10 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten Computer-Notfallteams (CSIRTs); f) die gemäß Artikel 8 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten für die Cybersicherheit zuständigen Behörden (CS-NCA); g) die gemäß der Verordnung (EU) 2019/881 errichtete Agentur der Europäischen Union für Cybersicherheit; h) alle sonstigen Behörden oder Dritte, denen gemäß Artikel 4 Absatz 3 Zuständigkeiten übertragen oder zugewiesen werden. (3) Diese Verordnung gilt auch für alle Einrichtungen, die nicht in der Union niedergelassen sind, aber Dienstleistungen für Einrichtungen in der Union erbringen, sofern sie von den zuständigen Behörden gemäß Artikel 24 Absatz 2 als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft wurden. (4) Diese Verordnung lässt die Zuständigkeit der Mitgliedstaaten in Bezug auf die Aufrechterhaltung der nationalen Sicherheit und ihre Befugnis zum Schutz anderer wesentlicher staatlicher Funktionen, einschließlich der Wahrung der territorialen Unversehrtheit des Staates und der Aufrechterhaltung der öffentlichen Ordnung, unberührt. (5) Diese Verordnung lässt die Zuständigkeit der Mitgliedstaaten für die Aufrechterhaltung der nationalen Sicherheit in Bezug auf Tätigkeiten zur Stromerzeugung in Kernkraftwerken, einschließlich Tätigkeiten innerhalb der nuklearen Wertschöpfungskette, im Einklang mit den Verträgen unberührt. (6) Soweit dies für die Zwecke dieser Verordnung erforderlich ist, werden personenbezogene Daten von Einrichtungen, den zuständigen Behörden, den zentralen Anlaufstellen auf Ebene der Einrichtung und den CSIRTs im Einklang mit der Verordnung (EU) 2016/679, insbesondere auf der Grundlage von Artikel 6 der genannten Verordnung, verarbeitet. Artikel 3 Begriffsbestimmungen Es gelten die folgenden Begriffsbestimmungen: 1. „Vermögenswert“ bezeichnet alle Informationen sowie jede Software oder Hardware, gleich ob materieller oder immaterieller Art, in Netz- und Informationssystemen, die für eine natürliche Person, eine Organisation oder eine Regierung von Wert sind; 2. „für die Risikovorsorge zuständige Behörde“ bezeichnet die gemäß Artikel 3 der Verordnung (EU) 2019/941 benannte zuständige Behörde; 3. „Computer-Notfallteam“ bezeichnet ein gemäß Artikel 10 der Richtlinie (EU) 2022/2555 für die Bewältigung von Risiken und Sicherheitsvorfällen zuständiges Team; 4. „Vermögenswert mit kritischen Auswirkungen“ bezeichnet einen Vermögenswert, der für die Durchführung eines Prozesses mit kritischen Auswirkungen erforderlich ist; 5. „Einrichtung mit kritischen Auswirkungen“ bezeichnet eine Einrichtung, die einen Prozess mit kritischen Auswirkungen durchführt und von den zuständigen Behörden gemäß Artikel 24 bestimmt wird; 6. „Perimeter mit kritischen Auswirkungen“ bezeichnet einen von einer in Artikel 2 Absatz 1 genannten Einrichtung definierten Perimeter, der alle Vermögenswerte mit kritischen Auswirkungen umfasst und in dem der Zugang zu diesen Vermögenswerten kontrolliert werden kann und der den Anwendungsbereich bestimmt, in dem die erweiterten Cybersicherheitskontrollen anzuwenden sind; 7. „Prozess mit kritischen Auswirkungen“ bezeichnet einen Geschäftsprozess einer Einrichtung, dessen Indizes für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor über dem Schwellenwert für kritische Auswirkungen liegen; 8. „Schwellenwert für kritische Auswirkungen“ bezeichnet die Werte der in Artikel 19 Absatz 3 Buchstabe b genannten Indizes für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor, bei deren Überschreitung ein Cyberangriff auf einen Geschäftsprozess zu einer kritischen Störung grenzüberschreitender Stromflüsse führt; 9. „Anbieter kritischer IKT-Dienste“ bezeichnet eine Einrichtung, die einen IKT-Dienst oder einen IKT-Prozess bereitstellt, der für einen Prozess mit kritischen oder erheblichen Auswirkungen, der sich auf Cybersicherheitsaspekte grenzüberschreitender Stromflüsse auswirkt, erforderlich ist und bei dessen Kompromittierung ein Cyberangriff erfolgen könnte, dessen Auswirkungen den Schwellenwert für kritische oder erhebliche Auswirkungen überschreiten; 10. „grenzüberschreitender Stromfluss“ bezeichnet einen grenzüberschreitenden Stromfluss im Sinne des Artikels 2 Nummer 3 der Verordnung (EU) 2019/943; 11. „Cyberangriff“ bezeichnet einen Vorfall im Sinne des Artikels 3 Nummer 14 der Verordnung (EU) 2022/2554; 12. „Cybersicherheit“ bezeichnet Cybersicherheit im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) 2019/881; 13. „Cybersicherheitskontrolle“ bezeichnet die zur Vermeidung, Erkennung, Bekämpfung oder Minimierung von Cybersicherheitsrisiken durchgeführten Maßnahmen oder Verfahren; 14. „Cybersicherheitsvorfall“ bezeichnet einen Vorfall im Sinne des Artikels 6 Nummer 6 der Richtlinie (EU) 2022/2555; 15. „Cybersicherheitsmanagementsystem“ bezeichnet die Konzepte, Verfahren, Leitlinien sowie die damit verbundenen Ressourcen und Tätigkeiten, die von einer Einrichtung insgesamt verwaltet werden, um ihre Informationsressourcen vor Cyberbedrohungen zu schützen, wobei die Sicherheit der Netz- und Informationssysteme einer Organisation systematisch bestimmt, umgesetzt, betrieben, überwacht, überprüft, aufrechterhalten und verbessert wird; 16. „Betriebszentrum für Cybersicherheit“ bezeichnet ein spezielles Zentrum, in dem ein aus einem oder mehreren Sachverständigen bestehendes technisches Team mithilfe von IT-Systemen für Cybersicherheit sicherheitsbezogene Aufgaben (Dienste von Cybersicherheits-Betriebszentren, CSOC-Dienste) wahrnimmt, wie z. B. den Umgang mit Cyberangriffen und Fehlern bei der Sicherheitskonfiguration, Sicherheitsüberwachung, Protokollanalyse und die Erkennung von Cyberangriffen; 17. „Cyberbedrohung“ bezeichnet eine Cyberbedrohung im Sinne des Artikels 2 Nummer 8 der Verordnung (EU) 2019/881; 18. „Schwachstellenmanagement im Bereich der Cybersicherheit“ bezeichnet die Praxis, Schwachstellen zu ermitteln und zu beheben; 19. „Einrichtung“ bezeichnet eine Einrichtung im Sinne des Artikels 6 Nummer 38 der Richtlinie (EU) 2022/2555; 20. „Frühwarnung“ bezeichnet die erforderliche Unterrichtung, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte; 21. „Index für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor“ (ECII) bezeichnet einen Index oder eine Klassifizierungsskala, mit dem/der die möglichen Folgen von Cyberangriffen auf Geschäftsprozesse im Zusammenhang mit grenzüberschreitenden Stromflüssen eingestuft werden; 22. „europäisches Schema für die Cybersicherheitszertifizierung“ bezeichnet ein Schema im Sinne des Artikels 2 Nummer 9 der Verordnung (EU) 2019/881; 23. „Einrichtung mit erheblichen Auswirkungen“ bezeichnet eine Einrichtung, die einen Prozess mit erheblichen Auswirkungen durchführt und von den zuständigen Behörden gemäß Artikel 24 ermittelt wird; 24. „Prozess mit erheblichen Auswirkungen“ bezeichnet jeden Geschäftsprozess einer Einrichtung, dessen Indizes für die Auswirkungen von Cybersicherheitsvorfällen im Elektrizitätssektor über den Schwellenwerten für erhebliche Auswirkungen liegen; 25. „Vermögenswert mit erheblichen Auswirkungen“ bezeichnet einen Vermögenswert, der für die Durchführung eines Prozesses mit erheblichen Auswirkungen erforderlich ist; 26. „Schwellenwert für erhebliche Auswirkungen“ bezeichnet die Werte der in Artikel 19 Absatz 3 Buchstabe b genannten Indizes für die Auswirkungen von Cybersicherheitsvorfällen im Elektrizitätssektor, bei deren Überschreitung ein erfolgreich durchgeführter Cyberangriff auf einen Prozess zu einer erheblichen Störung grenzüberschreitender Stromflüsse führt; 27. „Perimeter mit erheblichen Auswirkungen“ bezeichnet einen von einer der in Artikel 2 Absatz 1 aufgeführten Einrichtungen definierten Perimeter, der alle Vermögenswerte mit erheblichen Auswirkungen umfasst und in dem der Zugang zu diesen Vermögenswerten kontrolliert werden kann und der den Anwendungsbereich bestimmt, in dem die Mindestsicherheitskontrollen anzuwenden sind; 28. „IKT-Produkt“ bezeichnet ein IKT-Produkt im Sinne des Artikels 2 Nummer 12 der Verordnung (EU) 2019/881; 29. „IKT-Dienst“ bezeichnet einen IKT-Dienst im Sinne des Artikels 2 Nummer 13 der Verordnung (EU) 2019/881; 30. „IKT-Prozess“ bezeichnet einen IKT-Prozess im Sinne des Artikels 2 Nummer 14 der Verordnung (EU) 2019/881; 31. „Altsystem“ bezeichnet ein IKT-Altsystem im Sinne des Artikels 3 Nummer 3 der Verordnung (EU) 2022/2554; 32. „nationale zentrale Anlaufstelle“ bezeichnet die von jedem Mitgliedstaat gemäß Artikel 8 Absatz 3 der Richtlinie (EU) 2022/2555 benannte oder eingerichtete zentrale Anlaufstelle; 33. „NIS-Behörden für das Cyberkrisenmanagement“ bezeichnet die gemäß Artikel 9 Absatz 1 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten Behörden; 34. „Urheber“ bezeichnet eine Einrichtung, die einen Informationsaustausch, eine Informationsübermittlung oder die Speicherung von Informationen einleitet; 35. „Spezifikationen für die Auftragsvergabe“ bezeichnet die von Einrichtungen für die Beschaffung neuer oder aktualisierter IKT-Produkte, -Prozesse oder -Dienste festgelegten Spezifikationen; 36. „Vertreter“ bezeichnet eine in der Union niedergelassene natürliche oder juristische Person, die ausdrücklich dafür benannt wurde, im Namen einer Einrichtung mit erheblichen oder kritischen Auswirkungen, die nicht in der Union niedergelassen ist, aber Dienstleistungen für Einrichtungen in der Union erbringt, zu handeln, und an die sich eine zuständige Behörde oder ein CSIRT — statt an die Einrichtung mit erheblichen oder kritischen Auswirkungen — in Bezug auf die in dieser Verordnung festgelegten Verpflichtungen dieser Einrichtung wenden kann; 37. „Risiko“ bezeichnet ein Risiko im Sinne des Artikels 6 Nummer 9 der Richtlinie (EU) 2022/2555; 38. „Risiko-Auswirkungs-Matrix“ bezeichnet eine Matrix, die bei der Risikobewertung genutzt wird, um für jedes bewertete Risiko die mit ihm verbundenen Auswirkungen zu bestimmen; 39. „zeitgleich auftretende Stromversorgungskrise“ bezeichnet eine Stromversorgungskrise im Sinne des Artikels 2 Nummer 10 der Verordnung (EU) 2019/941; 40. „zentrale Anlaufstelle auf Ebene der Einrichtung“ bezeichnet eine zentrale Anlaufstelle bei der Einrichtung gemäß Artikel 38 Absatz 1 Buchstabe c; 41. „Interessenträger“ bezeichnet jede Partei, die am Erfolg und laufenden Betrieb einer Organisation oder eines Prozesses beteiligt ist, wie z. B. Beschäftigte, Direktoren, Anteilseigner, Regulierungsbehörden, Verbände, Lieferanten und Kunden; 42. „Norm“ bezeichnet eine Norm im Sinne des Artikels 2 Nummer 1 Buchstabe c der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates ( 3 ); 43. „Netzbetriebsregion“ bezeichnet die gemäß Artikel 36 der Verordnung (EU) 2019/943 festgelegten Netzbetriebsregionen, die in Anhang I der Entscheidung 05-2022 der ACER über die Definition der Netzbetriebsregionen bestimmt wurden; 44. „Netzbetreiber“ bezeichnet „Verteilernetzbetreiber“ (VNB) und „Übertragungsnetzbetreiber“ (ÜNB) im Sinne des Artikels 2 Nummer 29 bzw. Nummer 35 der Richtlinie (EU) 2019/944; 45. „unionsweiter Prozess mit kritischen Auswirkungen“ bezeichnet jeden Prozess im Elektrizitätssektor, an dem mehrere Einrichtungen beteiligt sein können und bei dem die möglichen Auswirkungen eines Cyberangriffs bei der Durchführung der unionsweiten Bewertung des Cybersicherheitsrisikos für kritisch erachtet werden können; 46. „unionsweiter Prozess mit erheblichen Auswirkungen“ bezeichnet jeden Prozess im Elektrizitätssektor, an dem mehrere Einrichtungen beteiligt sein können und bei dem die möglichen Auswirkungen eines Cyberangriffs bei der Durchführung der unionsweiten Bewertung des Cybersicherheitsrisikos für erheblich erachtet werden können; 47. „aktiv ausgenutzte Schwachstelle ohne Patch“ bezeichnet eine noch nicht öffentlich bekannt gegebene und noch nicht mit einem Patch versehene Schwachstelle, in Bezug auf die verlässliche Nachweise dafür vorliegen, dass ein Akteur ohne Zustimmung des Systemeigners einen schädlichen Programmcode in einem System ausgeführt hat; 48. „Schwachstelle“ bezeichnet eine Schwachstelle im Sinne des Artikels 6 Nummer 15 der Richtlinie (EU) 2022/2555. Artikel 4 Zuständige Behörde (1) So bald wie möglich, in jedem Fall aber bis zum 13 Dezember 2024, benennt jeder Mitgliedstaat eine nationale Regierungs- oder Regulierungsbehörde, die für die Wahrnehmung der ihr in dieser Verordnung übertragenen Aufgaben zuständig ist (im Folgenden „zuständige Behörde“). Bis die Aufgaben im Rahmen dieser Verordnung auf die zuständige Behörde übertragen wurden, nimmt die von jedem Mitgliedstaat gemäß Artikel 57 Absatz 1 der Richtlinie (EU) 2019/944 benannte Regulierungsbehörde die Aufgaben der zuständigen Behörde im Einklang mit dieser Verordnung wahr. (2) Die Mitgliedstaaten unterrichten die Kommission, die ACER, die ENISA, die gemäß Artikel 14 der Richtlinie (EU) 2022/2555 eingesetzte NIS-Kooperationsgruppe und die gemäß Artikel 1 des Beschlusses der Kommission vom 15. November 2012 ( 4 ) eingesetzte Koordinierungsgruppe „Strom“ unverzüglich und teilen ihnen den Namen und die Kontaktdaten ihrer gemäß Absatz 1 des vorliegenden Artikels benannten zuständigen Behörde sowie etwaige spätere Änderungen in Bezug auf diese Behörde mit. (3) Die Mitgliedstaaten können ihrer zuständigen Behörde gestatten, Aufgaben, die ihr in dieser Verordnung übertragen wurden, an andere nationale Behörden zu delegieren, mit Ausnahme der in Artikel 5 aufgeführten Aufgaben. Jede zuständige Behörde überwacht die Anwendung dieser Verordnung durch die Behörden, an die sie Aufgaben delegiert hat. Die zuständige Behörde teilt der Kommission, der ACER, der Koordinierungsgruppe „Strom“, der ENISA und der NIS-Kooperationsgruppe den Namen der Behörden, an die sie Aufgaben delegiert hat, deren Kontaktdaten, die ihnen übertragenen Aufgaben sowie etwaige spätere Änderungen mit. Artikel 5 Zusammenarbeit zwischen den zuständigen Behörden und Stellen auf nationaler Ebene Die zuständigen Behörden koordinieren und gewährleisten eine angemessene Zusammenarbeit zwischen den für Cybersicherheit zuständigen Behörden, den Behörden für das Cyberkrisenmanagement, den NRB, den für die Risikovorsorge zuständigen Behörden und den CSIRTs im Hinblick auf die Erfüllung der in dieser Verordnung festgelegten einschlägigen Verpflichtungen. Zudem stimmen sich die zuständigen Behörden mit anderen von den einzelnen Mitgliedstaaten bestimmten Stellen oder Behörden ab, um effiziente Verfahren sicherzustellen und Überschneidungen von Aufgaben und Pflichten zu vermeiden. Die zuständigen Behörden können die jeweiligen NRB anweisen, die ACER gemäß Artikel 8 Absatz 3 um eine Stellungnahme zu ersuchen. Artikel 6 Modalitäten oder Methoden oder Pläne (1) Die ÜNB entwickeln in Zusammenarbeit mit der EU-VNBO Vorschläge für die Modalitäten oder Methoden gemäß Absatz 2 bzw. für Pläne gemäß Absatz 3. (2) Die folgenden Modalitäten oder Methoden und etwaige Änderungen dieser Modalitäten oder Methoden bedürfen der Genehmigung aller zuständigen Behörden: a) die Methoden zur Bewertung des Cybersicherheitsrisikos gemäß Artikel 18 Absatz 1; b) der umfassende Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gemäß Artikel 23; c) die Mindest-Cybersicherheitskontrollen und die erweiterten Cybersicherheitskontrollen gemäß Artikel 29, der Vergleich der Cybersicherheitskontrollen im Elektrizitätssektor anhand von Normen gemäß Artikel 34, einschließlich Mindest-Cybersicherheitskontrollen und erweiterter Cybersicherheitskontrollen in der Lieferkette gemäß Artikel 33; d) eine Empfehlung für die Cybersicherheit bei der Auftragsvergabe gemäß Artikel 35; e) die Klassifizierungsmethode für Cyberangriffe gemäß Artikel 37 Absatz 8. (3) Die Vorschläge für die regionalen Pläne zur Minderung des Cybersicherheitsrisikos gemäß Artikel 22 bedürfen der Genehmigung aller zuständigen Behörden der betreffenden Netzbetriebsregion. (4) Die Vorschläge für Modalitäten oder Methoden gemäß Absatz 2 bzw. für Pläne gemäß Absatz 3 müssen einen Vorschlag für den Zeitplan für ihre Umsetzung und eine Beschreibung ihrer erwarteten Auswirkungen auf die Ziele dieser Verordnung enthalten. (5) Die EU-VNBO kann den betreffenden ÜNB bis zu drei Wochen vor Ablauf der Frist für die Übermittlung des Vorschlags für Modalitäten, Methoden oder Pläne an die zuständigen Behörden eine mit Gründen versehene Stellungnahme übermitteln. Die für den Vorschlag für Modalitäten, Methoden oder Pläne zuständigen ÜNB berücksichtigen die mit Gründen versehene Stellungnahme der EU-VNBO, bevor sie den Vorschlag den zuständigen Behörden zur Genehmigung vorlegen. Wenn die ÜNB die Stellungnahme der EU-VNBO nicht berücksichtigen, begründen sie dies. (6) Bei der gemeinsamen Entwicklung von Modalitäten, Methoden und Plänen arbeiten die teilnehmenden ÜNB eng zusammen. Die ÜNB unterrichten die zuständigen Behörden und die ACER mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO regelmäßig über die Fortschritt