Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Unionsebene, auf regionaler Ebene und auf der Ebene der Mitgliedstaaten müssen Folgendes umfassen: a) eine Liste der zu berücksichtigenden Cyberbedrohungen, einschließlich mindestens der folgenden Bedrohungen der Lieferkette: i) schwere und unerwartete Kompromittierung der Lieferkette; ii) Nichtverfügbarkeit von IKT-Produkten, -Diensten oder -Prozessen aus der Lieferkette; ▼M1 iii) über Akteure in der Lieferkette ausgelöste Cyberangriffe; iv) Weitergabe sensibler Informationen entlang der Lieferkette, einschließlich der Nachverfolgung der Lieferkette; v) Einführung von Schwachstellen oder Hintertüren in IKT-Produkten, -Diensten oder Prozessen über Akteure in der Lieferkette; ▼B b) die Kriterien für die Einstufung der Auswirkungen von Cybersicherheitsrisiken als erheblich oder kritisch, wobei festgelegte Schwellenwerte für deren Folgen und Wahrscheinlichkeit zu nutzen sind; c) einen Ansatz zur Analyse der Cybersicherheitsrisiken, die sich aus Altsystemen, den Kaskadeneffekten von Cyberangriffen und dem Echtzeitcharakter der Netzbetriebssysteme ergeben; d) einen Ansatz zur Analyse der Cybersicherheitsrisiken, die sich aus der Abhängigkeit von einem einzigen Anbieter von IKT-Produkten, -Diensten oder -Prozessen ergeben. (3) Die Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf der Ebene der Mitgliedstaaten müssen dieselbe Risiko-Auswirkungs-Matrix umfassen. Mit der Risiko-Auswirkungs-Matrix a) werden die Folgen von Cyberangriffen anhand folgender Kriterien gemessen: i) Lastverlust; ii) Verringerung der Stromerzeugung; iii) Kapazitätsverlust in der primären Frequenzreserve; iv) Verlust von Kapazitäten für die Wiederherstellung des Betriebs eines Stromnetzes ohne Rückgriff auf das externe Übertragungsnetz nach einer vollständigen oder teilweisen Abschaltung („Schwarzstart“); v) voraussichtliche Dauer eines Stromausfalls mit Auswirkungen auf die Kunden in Verbindung mit dem Ausmaß des Ausfalls (nach Zahl der Kunden) und vi) alle sonstigen quantitativen oder qualitativen Kriterien, die als sinnvolle Indikatoren für die Auswirkungen eines Cyberangriffs auf grenzüberschreitende Stromflüsse dienen könnten; b) wird die Wahrscheinlichkeit eines Vorfalls als Häufigkeit der Cyberangriffe pro Jahr gemessen. (4) In den Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene wird beschrieben, wie die ECII-Schwellenwerte für erhebliche und kritische Auswirkungen bestimmt werden. Der ECII muss es den Einrichtungen ermöglichen, im Rahmen der von ihnen gemäß Artikel 26 Absatz 4 Buchstabe c Ziffer i durchgeführten Folgenabschätzungen die Auswirkungen der Risiken auf ihre Geschäftsprozesse mithilfe der in Absatz 2 Buchstabe b genannten Kriterien abzuschätzen. (5) ENTSO-E unterrichtet die Koordinierungsgruppe „Strom“ in Abstimmung mit der EU-VNBO über die Vorschläge für die gemäß Absatz 1 zu entwickelnden Methoden zur Bewertung des Cybersicherheitsrisikos. Artikel 19 Unionsweite Bewertung des Cybersicherheitsrisikos (1) Innerhalb von neun Monaten nach der Genehmigung der Methoden zur Bewertung des Cybersicherheitsrisikos gemäß Artikel 8 und danach alle drei Jahre führt ENTSO-E in Zusammenarbeit mit der EU-VNBO und in Absprache mit der NIS-Kooperationsgruppe unbeschadet des Artikels 22 der Richtlinie (EU) 2022/2555 eine unionsweite Bewertung des Cybersicherheitsrisikos durch und erstellt einen Entwurf eines Berichts über die unionsweite Bewertung des Cybersicherheitsrisikos. Dabei wenden sie die gemäß Artikel 18 entwickelten und gemäß Artikel 8 genehmigten Methoden an, um die möglichen Folgen von Cyberangriffen, die sich auf die Betriebssicherheit des Elektrizitätssystems auswirken und grenzüberschreitende Stromflüsse stören, zu ermitteln, zu analysieren und zu bewerten. Bei der unionsweiten Bewertung des Cybersicherheitsrisikos werden die mit Cyberangriffen verbundenen rechtlichen und finanziellen Schäden sowie Rufschädigungen nicht berücksichtigt. (2) Der Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos muss Folgendes enthalten: a) die unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen; b) eine Risiko-Auswirkungs-Matrix, die Einrichtungen und die zuständigen Behörden nutzen müssen, um die Cybersicherheitsrisiken zu bewerten, die in der Bewertung des Cybersicherheitsrisikos auf der Ebene der Mitgliedstaaten gemäß Artikel 20 und in der Bewertung des Cybersicherheitsrisikos auf der Ebene von Einrichtungen gemäß Artikel 26 Absatz 2 Buchstabe b ermittelt wurden. (3) In Bezug auf die unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen muss der Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos Folgendes enthalten: a) eine Bewertung der möglichen Folgen eines Cyberangriffs anhand der Parameter, die in der gemäß Artikel 18 Absätze 2, 3 und 4 entwickelten und gemäß Artikel 8 genehmigten Methode zur Bewertung des Cybersicherheitsrisikos festgelegt sind; b) den ECII und die Schwellenwerte für erhebliche und kritische Auswirkungen, die die zuständigen Behörden gemäß Artikel 24 Absätze 1 und 2 nutzen müssen, um Einrichtungen mit erheblichen oder kritischen Auswirkungen zu ermitteln, die an unionsweiten Prozessen mit erheblichen bzw. kritischen Auswirkungen beteiligt sind. (4) ENTSO-E legt der ACER in Zusammenarbeit mit der EU-VNBO den Entwurf des Berichts über die unionsweite Bewertung des Cybersicherheitsrisikos mit den Ergebnissen der unionsweiten Bewertung des Cybersicherheitsrisikos zur Stellungnahme vor. Die ACER gibt innerhalb von drei Monaten nach Eingang eine Stellungnahme zu dem Entwurf des Berichts ab. ENTSO-E und die EU-VNBO tragen der Stellungnahme der ACER bei der Fertigstellung dieses Berichts so weit wie möglich Rechnung. (5) Innerhalb von drei Monaten nach Eingang der Stellungnahme der ACER übermittelt ENTSO-E in Zusammenarbeit mit der EU-VNBO der ACER, der Kommission, der ENISA und den zuständigen Behörden den endgültigen Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos. Artikel 20 Bewertung des Cybersicherheitsrisikos der Mitgliedstaaten (1) Jede zuständige Behörde führt in Bezug auf alle Einrichtungen mit erheblichen oder kritischen Auswirkungen in ihrem Mitgliedstaat eine Bewertung des Cybersicherheitsrisikos des Mitgliedstaats durch und nutzt dabei die gemäß Artikel 18 entwickelten und gemäß Artikel 8 genehmigten Methoden. Bei der Bewertung des Cybersicherheitsrisikos der Mitgliedstaaten werden die Risiken von Cyberangriffen ermittelt und analysiert, die die Betriebssicherheit des Elektrizitätssystems beeinträchtigen und grenzüberschreitende Stromflüsse stören. Bei der Bewertung des Cybersicherheitsrisikos der Mitgliedstaaten werden die mit Cyberangriffen verbundenen rechtlichen und finanziellen Schäden sowie Rufschädigungen nicht berücksichtigt. (2) Innerhalb von 21 Monaten nach der Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6 und danach alle drei Jahre übermittelt jede zuständige Behörde mit Unterstützung des CSIRT und nach Konsultation der für Elektrizität zuständigen CS-NCA dem ENTSO-E und der EU-VNBO einen Bericht über die Bewertung des Cybersicherheitsrisikos des Mitgliedstaats, der in Bezug auf jeden Geschäftsprozess mit erheblichen oder kritischen Auswirkungen folgende Informationen enthält: a) den Stand der Umsetzung der Mindest-Cybersicherheitskontrollen und der erweiterten Cybersicherheitskorntrollen gemäß Artikel 29; b) eine Liste aller in den letzten drei Jahren gemäß Artikel 38 Absatz 3 gemeldeten Cyberangriffe; c) eine Zusammenfassung aller in den letzten drei Jahren gemäß Artikel 38 Absatz 6 gemeldeten Informationen zu Cyberbedrohungen; d) für jeden unionsweiten Prozess mit erheblichen oder kritischen Auswirkungen eine Schätzung der mit einer Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und relevanten Vermögenswerten verbundenen Risiken; e) erforderlichenfalls eine Liste zusätzlicher Einrichtungen, die gemäß Artikel 24 Absätze 1, 2, 3 und 5 als Einrichtungen mit erheblichen oder kritischen Auswirkungen ermittelt wurden. (3) Der Bericht über die Bewertung des Cybersicherheitsrisikos des Mitgliedstaats muss dem gemäß Artikel 10 der Verordnung (EU) 2019/941 erstellten Risikovorsorgeplan des Mitgliedstaats Rechnung tragen. (4) Die Informationen in dem Bericht über die Bewertung des Cybersicherheitsrisikos des Mitgliedstaats gemäß Absatz 2 Buchstaben a bis d dürfen nicht mit bestimmten Einrichtungen oder Vermögenswerten verknüpft sein. In dem Bericht über die Bewertung des Cybersicherheitsrisikos des Mitgliedstaats sind auch die Risiken im Zusammenhang mit den von den zuständigen Behörden der Mitgliedstaaten gemäß Artikel 30 gewährten befristeten Ausnahmen zu bewerten. (5) ENTSO-E und die EU-VNBO können im Zusammenhang mit den in Unterabsatz 2 Buchstaben a und c genannten Aufgaben die zuständigen Behörden um zusätzliche Informationen ersuchen. (6) Die zuständigen Behörden stellen sicher, dass die von ihnen bereitgestellten Informationen genau und zutreffend sind. Artikel 21 Regionale Bewertungen des Cybersicherheitsrisikos (1) ►C1 ENTSO-E führt in Zusammenarbeit mit der EU-VNBO und in Absprache mit dem zuständigen regionalen Koordinierungszentrum für jede Netzbetriebsregion eine regionale Bewertung des Cybersicherheitsrisikos durch und nutzt dabei die gemäß Artikel 18 entwickelten und gemäß Artikel 8 genehmigten Methoden, um die Risiken von Cyberangriffen, die die Betriebssicherheit des Elektrizitätssystems beeinträchtigen und grenzüberschreitende Stromflüsse stören, zu ermitteln, zu analysieren und zu bewerten. Bei der regionalen Bewertung des Cybersicherheitsrisikos werden die mit Cyberangriffen verbundenen rechtlichen und finanziellen Schäden sowie Rufschädigungen nicht berücksichtigt. ◄ (2) Innerhalb von 30 Monaten nach der Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6 und danach alle drei Jahre erstellt ENTSO-E in Zusammenarbeit mit der EU-VNBO und in Absprache mit der NIS-Kooperationsgruppe für jede Netzbetriebsregion einen Bericht über die regionale Bewertung des Cybersicherheitsrisikos. (3) Der Bericht über die regionale Bewertung des Cybersicherheitsrisikos muss den einschlägigen Informationen Rechnung tragen, die in den Berichten über die unionsweite Bewertung des Cybersicherheitsrisikos und in den Berichten der Mitgliedstaaten über die Bewertung des Cybersicherheitsrisikos enthalten sind. (4) Bei der regionalen Bewertung des Cybersicherheitsrisikos werden die gemäß Artikel 6 der Verordnung (EU) 2019/941 bestimmten regionalen Szenarien für Stromversorgungskrisen im Bereich der Cybersicherheit berücksichtigt. Artikel 22 Regionale Pläne zur Minderung des Cybersicherheitsrisikos (1) Innerhalb von 36 Monaten nach Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6, spätestens jedoch am 13 Juni 2031, und danach alle drei Jahre erstellen die ÜNB mit Unterstützung von ENTSO-E sowie in Zusammenarbeit mit der EU-VNBO und in Absprache mit den regionalen Koordinierungszentren und der NIS-Kooperationsgruppe für jede Netzbetriebsregion einen regionalen Plan zur Minderung des Cybersicherheitsrisikos. (2) Die regionalen Pläne zur Minderung des Cybersicherheitsrisikos müssen Folgendes enthalten: a) die Mindest-Cybersicherheitskontrollen und die erweiterten Cybersicherheitskontrollen, die die Einrichtungen mit erheblichen bzw. kritischen Auswirkungen in der Netzbetriebsregion anwenden müssen; b) die verbleibenden Cybersicherheitsrisiken in den Netzbetriebsregionen nach Anwendung der unter Buchstabe a genannten Kontrollen. (3) ENTSO-E legt die regionalen Pläne zur Minderung des Cybersicherheitsrisikos den relevanten Übertragungsnetzbetreibern, den zuständigen Behörden und der Koordinierungsgruppe „Strom“ vor. Die Koordinierungsgruppe „Strom“ kann Änderungen empfehlen. (4) Die ÜNB aktualisieren mit Unterstützung von ENTSO-E sowie in Zusammenarbeit mit der EU-VNBO und in Absprache mit der NIS-Kooperationsgruppe die regionalen Risikominderungspläne alle drei Jahre, soweit aufgrund der Umstände keine häufigere Aktualisierung erforderlich ist. Artikel 23 Umfassender Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse (1) Innerhalb von 40 Monaten nach Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6 und danach alle drei Jahre übermitteln die ÜNB mit Unterstützung von ENTSO-E sowie in Zusammenarbeit mit der EU-VNBO und in Absprache mit der NIS-Kooperationsgruppe der Koordinierungsgruppe „Strom“ einen Bericht über die Ergebnisse der Bewertung der Cybersicherheitsrisiken in Bezug auf grenzüberschreitende Stromflüsse (im Folgenden „umfassender Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse“). (2) Der umfassende Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse stützt sich auf den Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos, die Berichte der Mitgliedstaaten über die Bewertung des Cybersicherheitsrisikos und die Berichte über die regionale Bewertung des Cybersicherheitsrisikos und muss folgende Informationen enthalten: a) die Liste der unionsweiten Prozesse mit erheblichen oder kritischen Auswirkungen, die im Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 2 Buchstabe a ermittelt wurden, einschließlich der Schätzung der Wahrscheinlichkeit und der Auswirkungen von Cybersicherheitsrisiken, die in den Berichten über die regionale Bewertung des Cybersicherheitsrisikos gemäß Artikel 21 Absatz 2 und Artikel 19 Absatz 3 Buchstabe a bewertet wurden; b) aktuelle Cyberbedrohungen, insbesondere neu aufkommende Bedrohungen und Risiken für das Elektrizitätssystem; c) Cyberangriffe im vorangegangenen Zeitraum auf Unionsebene mit einem kritischen Überblick darüber, wie sich diese Cyberangriffe auf grenzüberschreitende Stromflüsse ausgewirkt haben könnten; d) allgemeiner Stand der Umsetzung der Cybersicherheitsmaßnahmen; e) Stand der Umsetzung der Informationsflüsse gemäß den Artikeln 37 und 38; f) Liste der Informationen oder spezifische Kriterien für die Klassifizierung von Informationen gemäß Artikel 46; g) ermittelte und besonders zu beachtende Risiken, die sich aus einem unsicheren Lieferkettenmanagement ergeben können; h) Ergebnisse der regionalen und überregionalen Cybersicherheitsübungen gemäß Artikel 44 und dabei insgesamt gewonnene Erfahrungen; i) eine Analyse der Entwicklung des allgemeinen Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse seit den letzten regionalen Bewertungen des Cybersicherheitsrisikos; j) alle sonstigen Informationen, die nützlich sein können, um mögliche Verbesserungen dieser Verordnung oder die Notwendigkeit einer Überarbeitung dieser Verordnung oder ihrer Instrumente zu ermitteln, sowie k) aggregierte und anonymisierte Informationen über die gemäß Artikel 30 Absatz 3 gewährten Ausnahmen. (3) Die in Artikel 2 Absatz 1 aufgeführten Einrichtungen können zur Ausarbeitung des umfassenden Berichts über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse beitragen, wobei sie die Vertraulichkeit der Informationen gemäß Artikel 47 wahren müssen. Die ÜNB konsultieren diese Einrichtungen mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO frühzeitig. (4) Der umfassende Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse unterliegt den Bestimmungen des Artikels 46 über den Schutz ausgetauschter Informationen. ►C1 Unbeschadet des Artikels 12 Absatz 4 und des Artikels 47 Absatz 4 veröffentlichen ENTSO-E und die EU-VNBO eine öffentliche Fassung dieses Berichts, die keine Informationen enthält, die den in Artikel 2 Absatz 1 aufgeführten Einrichtungen schaden können. ◄ Die öffentliche Fassung dieses Berichts wird nur mit Zustimmung der NIS-Kooperationsgruppe und der Koordinierungsgruppe „Strom“ veröffentlicht. ENTSO-E ist in Abstimmung mit der EU-VNBO für die Zusammenstellung und Veröffentlichung der öffentlichen Fassung des Berichts verantwortlich. Artikel 24 Ermittlung von Einrichtungen mit erheblichen oder kritischen Auswirkungen (1) Jede zuständige Behörde ermittelt anhand des ECII und der Schwellenwerte für erhebliche und kritische Auswirkungen, die im Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 3 Buchstabe b enthalten sind, die Einrichtungen mit erheblichen oder kritischen Auswirkungen in ihrem Mitgliedstaat, die an unionsweiten Prozessen mit erheblichen bzw. kritischen Auswirkungen beteiligt sind. Die zuständigen Behörden können von einer Einrichtung in ihrem Mitgliedstaat Informationen anfordern, um die ECII-Werte für diese Einrichtung zu bestimmen. Liegt der ermittelte ECII einer Einrichtung über dem Schwellenwert für erhebliche oder kritische Auswirkungen, wird die ermittelte Einrichtung in dem in Artikel 20 Absatz 2 genannten Bericht über die Bewertung des Cybersicherheitsrisikos des Mitgliedstaats aufgeführt. (2) Jede zuständige Behörde ermittelt anhand des ECII und der Schwellenwerte für erhebliche und kritische Auswirkungen aus dem Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 3 Buchstabe b die nicht in der Union niedergelassenen Einrichtungen mit erheblichen oder kritischen Auswirkungen, soweit sie in der Union tätig sind. Die zuständige Behörde kann von einer nicht in der Union niedergelassenen Einrichtung Informationen anfordern, um die ECII-Werte für die Einrichtung zu bestimmen. (3) Jede zuständige Behörde kann weitere Einrichtungen in ihrem Mitgliedstaat als Einrichtungen mit erheblichen oder kritischen Auswirkungen einstufen, wenn die folgenden Kriterien erfüllt sind: a) Die Einrichtung ist Teil einer Gruppe von Einrichtungen, für die ein erhebliches Risiko besteht, dass sie zeitgleich Ziel eines Cyberangriffs sein könnten; b) der über die Gruppe von Einrichtungen aggregierte ECII liegt über dem Schwellenwert für erhebliche oder kritische Auswirkungen. (4) Ermittelt eine zuständige Behörde gemäß Absatz 3 zusätzliche Einrichtungen, so gelten alle Prozesse dieser Einrichtungen, deren über die Gruppe aggregierter ECII über dem Schwellenwert für erhebliche Auswirkungen liegt, als Prozesse mit erheblichen Auswirkungen, und alle Prozesse, deren über die Gruppe aggregierter ECII über den Schwellenwerten für kritische Auswirkungen liegt, gelten als Prozesse mit kritischen Auswirkungen. (5) Ermittelt eine zuständige Behörde Einrichtungen gemäß Absatz 3 Buchstabe a in mehr als einem Mitgliedstaat, so unterrichtet sie die anderen zuständigen Behörden, ENTSO-E und die EU-VNBO. ENTSO-E übermittelt den zuständigen Behörden in Zusammenarbeit mit der EU-VNBO auf der Grundlage der von allen zuständigen Behörden übermittelten Informationen eine Analyse der Aggregierung von Einrichtungen in mehr als einem Mitgliedstaat, die zu einer von verschiedenen Punkten ausgehenden Störung der grenzüberschreitenden Stromflüsse führen und einen Cyberangriff nach sich ziehen können. Wird eine Gruppe von Einrichtungen in mehreren Mitgliedstaaten als Aggregierung ermittelt, deren ECII über dem Schwellenwert für erhebliche oder kritische Auswirkungen liegt, so stufen alle betroffenen zuständigen Behörden die Einrichtungen in dieser Gruppe für ihren jeweiligen Mitgliedstaat auf der Grundlage des aggregierten ECII für die Gruppe der Einrichtungen als Einrichtungen mit erheblichen bzw. kritischen Auswirkungen ein, und die ermittelten Einrichtungen werden in den Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos aufgenommen. (6) Jede zuständige Behörde unterrichtet innerhalb von neun Monaten, nachdem ENTSO-E und die EU-VNBO den Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 5 übermittelt haben, spätestens jedoch bis zum 13 Juni 2028, die in der Liste aufgeführten Einrichtungen, dass sie in ihrem Mitgliedstaat als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft wurden. (7) ►C1 Wird einer zuständigen Behörde ein Diensteanbieter als Anbieter kritischer IKT-Dienste gemäß Artikel 27 Absatz 3 gemeldet, ◄ so teilt sie dies den zuständigen Behörden der Mitgliedstaaten mit, in deren Hoheitsgebiet sich der Sitz oder der Vertreter befindet. Die letztgenannte zuständige Behörde teilt dem Diensteanbieter mit, dass er als Anbieter kritischer Dienste eingestuft wurde. Artikel 25 Nationale Überprüfungssysteme (1) Die zuständigen Behörden können ein nationales Überprüfungssystem einrichten, um zu überprüfen, ob die gemäß Artikel 24 Absatz 1 ermittelten Einrichtungen mit kritischen Auswirkungen den nationalen Rechtsrahmen umgesetzt haben, der in der Vergleichsmatrix gemäß Artikel 34 aufgeführt ist. Das nationale Überprüfungssystem kann sich auf eine von der zuständigen Behörde durchgeführte Inspektion, unabhängige Sicherheitsaudits oder gegenseitige Peer Reviews durch Einrichtungen mit kritischen Auswirkungen in demselben Mitgliedstaat, die von der zuständigen Behörde beaufsichtig