Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

t werden, stützen. (2) Beschließt eine zuständige Behörde, ein nationales Überprüfungssystem einzurichten, so stellt sie sicher, dass die Überprüfung nach den folgenden Anforderungen durchgeführt wird: a) Jede Partei, die die Peer Review, das Audit oder die Inspektion durchführt, muss von der zu überprüfenden Einrichtung mit kritischen Auswirkungen unabhängig sein und darf sich nicht in einem Interessenkonflikt befinden; b) das Personal, das die Peer Reviews, Audits oder Inspektionen durchführt, muss nachweislich Kenntnisse haben über i) die Cybersicherheit im Elektrizitätssektor; ii) Cybersicherheitsmanagementsysteme; iii) Audit-Grundsätze; iv) die Bewertung von Cybersicherheitsrisiken; v) den gemeinsamen Rahmen für die Cybersicherheit im Elektrizitätssektor; vi) den nationalen Rechts- und Verwaltungsrahmen sowie europäische und internationale Normen, die für die Überprüfung relevant sind; vii) die Prozesse mit kritischen Auswirkungen, die Gegenstand der Überprüfung sind; c) die Partei, die die Peer Reviews, Audits oder Inspektionen durchführt, erhält ausreichend Zeit für die Durchführung dieser Tätigkeiten; d) die Partei, die die Peer Reviews, Audits oder Inspektionen durchführt, ergreift geeignete Maßnahmen, um die bei der Überprüfung erhobenen Informationen im Einklang mit ihrem Vertraulichkeitsgrad zu schützen, und e) Peer Reviews, Audits oder Inspektionen werden mindestens einmal jährlich durchgeführt und umfassen mindestens alle drei Jahre den gesamten Prüfumfang. (3) Beschließt eine zuständige Behörde, ein nationales Überprüfungssystem einzurichten, so teilt sie der ACER jährlich mit, wie oft sie Inspektionen im Rahmen dieses Systems durchgeführt hat. Artikel 26 Cybersicherheitsrisikomanagement auf Ebene der Einrichtungen (1) Jede von den zuständigen Behörden gemäß Artikel 24 Absatz 1 ermittelte Einrichtung mit erheblichen oder kritischen Auswirkungen führt das Cybersicherheitsrisikomanagement für alle ihre Vermögenswerte in ihren Perimetern mit erheblichen oder kritischen Auswirkungen durch. Jede Einrichtung mit erheblichen oder kritischen Auswirkungen führt alle drei Jahre ein Risikomanagement durch, das die in Absatz 2 genannten Phasen umfasst. (2) Jede Einrichtung mit erheblichen oder kritischen Auswirkungen stützt ihr Cybersicherheitsrisikomanagement auf einen Ansatz, der auf den Schutz ihrer Netz- und Informationssysteme abzielt und folgende Phasen umfasst: a) Bestimmung des Kontexts; b) Bewertung des Cybersicherheitsrisikos auf der Ebene der Einrichtung; c) Behandlung von Cybersicherheitsrisiken; d) Akzeptanz von Cybersicherheitsrisiken. (3) Bei der Bestimmung des Kontexts trifft jede Einrichtung mit erheblichen oder kritischen Auswirkungen folgende Maßnahmen: a) Festlegung des Umfangs der Bewertung des Cybersicherheitsrisikos, einschließlich der von ENTSO-E und der EU-VNBO ermittelten Prozesse mit erheblichen oder kritischen Auswirkungen sowie anderer Prozesse, die Ziel von Cyberangriffen mit erheblichen oder kritischen Auswirkungen auf grenzüberschreitende Stromflüsse sein können, und b) Festlegung der Kriterien für die Risikobewertung und die Risikoakzeptanz im Einklang mit der Risiko-Auswirkungs-Matrix, die Einrichtungen und die zuständigen Behörden nach den von ENTSO-E und der EU-VNBO gemäß Artikel 19 Absatz 2 entwickelten Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf Ebene der Mitgliedstaaten nutzen müssen, um Cybersicherheitsrisiken zu bewerten. (4) Bei der Bewertung des Cybersicherheitsrisikos muss jede Einrichtung mit erheblichen oder kritischen Auswirkungen a) Cybersicherheitsrisiken unter Berücksichtigung folgender Aspekte ermitteln: i) aller Vermögenswerte, die unionsweite Prozesse mit erheblichen oder kritischen Auswirkungen unterstützen, wobei die möglichen Auswirkungen auf grenzüberschreitende Stromflüsse für den Fall einer Kompromittierung des Vermögenswerts zu bewerten sind; ii) möglicher Cyberbedrohungen unter Berücksichtigung der Cyberbedrohungen, die im jüngsten umfassenden Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gemäß Artikel 23 ermittelt wurden, sowie Bedrohungen der Lieferkette; iii) Schwachstellen, einschließlich Schwachstellen in Altsystemen; iv) möglicher Szenarien von Cyberangriffen, einschließlich Cyberangriffen, die die Betriebssicherheit des Elektrizitätssystems beeinträchtigen und grenzüberschreitende Stromflüsse stören; v) einschlägiger Risikobeurteilungen und -bewertungen auf Unionsebene, einschließlich koordinierter Risikobewertungen kritischer Lieferketten gemäß Artikel 22 der Richtlinie (EU) 2022/2555, und vi) bestehender umgesetzter Kontrollen; b) die Wahrscheinlichkeit und Folgen der unter Buchstabe a genannten Cybersicherheitsrisiken analysieren und das Ausmaß des Cybersicherheitsrisikos anhand der Risiko-Auswirkungs-Matrix bestimmen, die in den von den ÜNB mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO gemäß Artikel 19 Absatz 2 entwickelten Methoden zur Bewertung des Cybersicherheitsrisikos auf Unionsebene, auf regionaler Ebene und auf Ebene der Mitgliedstaaten genutzt wird, um Cybersicherheitsrisiken zu bewerten; c) Vermögenswerte nach den möglichen Folgen einer Beeinträchtigung der Cybersicherheit klassifizieren und Perimeter mit erheblichen oder kritischen Auswirkungen wie folgt ermitteln: i) Durchführung einer Folgenabschätzung für Geschäftsprozesse anhand des ECII für alle Prozesse, die Gegenstand der Bewertung des Cybersicherheitsrisikos sind; ii) Einstufung eines Prozesses als Prozess mit erheblichen oder kritischen Auswirkungen, wenn sein ECII über dem Schwellenwert für erhebliche bzw. kritische Auswirkungen liegt; iii) Bestimmung aller Vermögenswerte mit erheblichen oder kritischen Auswirkungen als die Vermögenswerte, die für Prozesse mit erheblichen bzw. kritischen Auswirkungen erforderlich sind; iv) Bestimmung der Perimeter mit erheblichen oder kritischen Auswirkungen als Perimeter, die alle Vermögenswerte mit erheblichen bzw. kritischen Auswirkungen umfassen, damit der Zugang zu diesen Perimetern kontrolliert werden kann; d) Cybersicherheitsrisiken durch Priorisierung anhand von Risikobewertungs- und Risikoakzeptanzkriterien gemäß Absatz 3 Buchstabe b beurteilen. (5) Bei der Behandlung des Cybersicherheitsrisikos erstellt jede Einrichtung mit erheblichen oder kritischen Auswirkungen einen Risikominderungsplan auf Ebene der Einrichtung, wobei sie geeignete Optionen für die Behandlung des Risikos wählt, um die Risiken zu bewältigen und das Restrisiko zu bestimmen. (6) Bei der Akzeptanz von Cybersicherheitsrisiken entscheidet jede Einrichtung mit erheblichen oder kritischen Auswirkungen auf der Grundlage der in Absatz 3 Buchstabe b festgelegten Risikoakzeptanzkriterien, ob sie das Restrisiko akzeptiert. (7) Jede Einrichtung mit erheblichen oder kritischen Auswirkungen erfasst die in Absatz 1 genannten Vermögenswerte in einem Vermögensinventar. Dieses Vermögensinventar ist nicht Teil des Berichts über die Risikobewertung. (8) Die zuständige Behörde kann die im Vermögensinventar enthaltenen Vermögenswerte während der Inspektionen einsehen. Artikel 27 Berichterstattung über die Risikobewertung auf Ebene der Einrichtung Innerhalb von 12 Monaten nach der Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6 und danach alle drei Jahre legt jede Einrichtung mit erheblichen oder kritischen Auswirkungen der zuständigen Behörde einen Bericht vor, der folgende Informationen enthält: 1. eine Liste der für den Risikominderungsplan auf Ebene der Einrichtung gemäß Artikel 26 Absatz 5 ausgewählten Kontrollen mit dem aktuellen Stand der Umsetzung jeder Kontrolle; 2. für jeden unionsweiten Prozess mit erheblichen oder kritischen Auswirkungen eine Schätzung des Risikos einer Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und relevanten Vermögenswerten. Die Schätzung dieses Risikos ist im Einklang mit der Risiko-Auswirkungs-Matrix gemäß Artikel 19 Absatz 2 zu bestimmen; 3. für ihre Prozesse mit kritischen Auswirkungen eine Liste der Anbieter kritischer IKT-Dienste. KAPITEL III GEMEINSAMER RAHMEN FÜR DIE CYBERSICHERHEIT IM ELEKTRIZITÄTSSEKTOR Artikel 28 Zusammensetzung, Funktionsweise und Überprüfung des gemeinsamen Rahmens für die Cybersicherheit im Elektrizitätssektor (1) Der gemeinsame Rahmen für die Cybersicherheit im Elektrizitätssektor umfasst die folgenden Kontrollen und Systeme für das Cybersicherheitsmanagement: a) die gemäß Artikel 29 entwickelten Mindest-Cybersicherheitskontrollen; b) die gemäß Artikel 29 entwickelten erweiterten Cybersicherheitskontrollen; c) die gemäß Artikel 34 entwickelte Vergleichsmatrix, in der die Kontrollen gemäß den Buchstaben a und b anhand ausgewählter europäischer und internationaler Normen und nationaler Rechts- oder Verwaltungsrahmen verglichen werden; d) das gemäß Artikel 32 eingerichtete Cybersicherheitsmanagementsystem. (2) Alle Einrichtungen mit erheblichen Auswirkungen wenden die Mindest-Cybersicherheitskontrollen gemäß Absatz 1 Buchstabe a innerhalb ihres Perimeters mit erheblichen Auswirkungen an. (3) Alle Einrichtungen mit kritischen Auswirkungen wenden die erweiterten Cybersicherheitskontrollen gemäß Absatz 1 Buchstabe b innerhalb ihres Perimeters mit kritischen Auswirkungen an. (4) Innerhalb von sieben Monaten nach Vorlage des ersten Entwurfs des Berichts über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 4 wird der in Absatz 1 genannte gemeinsame Rahmen für die Cybersicherheit im Elektrizitätssektor durch die gemäß Artikel 33 entwickelten Mindest-Cybersicherheitskontrollen und erweiterten Cybersicherheitskontrollen in der Lieferkette ergänzt. Artikel 29 Mindest-Cybersicherheitskontrollen und erweiterte Cybersicherheitskontrollen (1) Innerhalb von sieben Monaten nach Vorlage des ersten Entwurfs des Berichts über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 4 erarbeiten die ÜNB mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO einen Vorschlag für Mindest-Cybersicherheitskontrollen und erweiterte Cybersicherheitskontrollen. (2) Innerhalb von sechs Monaten nach Erstellung jedes Berichts über die regionale Bewertung des Cybersicherheitsrisikos gemäß Artikel 21 Absatz 2 schlagen die ÜNB mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO der zuständigen Behörde eine Änderung der Mindest-Cybersicherheitskontrollen und der erweiterten Cybersicherheitskontrollen vor. Der Vorschlag wird im Einklang mit Artikel 8 Absatz 10 vorgelegt und muss den in der regionalen Risikobewertung ermittelten Risiken Rechnung tragen. (3) Die Mindest-Cybersicherheitskontrollen und die erweiterten Cybersicherheitskontrollen müssen überprüft werden können; dazu werden sie entweder im Einklang mit dem Verfahren gemäß Artikel 31 in ein nationales Überprüfungssystem einbezogen oder Sicherheitsaudits durch unabhängige Dritte gemäß den in Artikel 25 Absatz 2 aufgeführten Anforderungen unterzogen. (4) Die gemäß Absatz 1 entwickelten anfänglichen Mindest-Cybersicherheitskontrollen und erweiterten Cybersicherheitskontrollen müssen auf den Risiken beruhen, die in dem Bericht über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 5 ermittelt wurden. Die gemäß Absatz 2 entwickelten geänderten Mindest-Cybersicherheitskontrollen und erweiterten Cybersicherheitskontrollen müssen auf dem in Artikel 21 Absatz 2 genannten Bericht über die regionale Bewertung des Cybersicherheitsrisikos beruhen. (5) Die Mindest-Cybersicherheitskontrollen müssen im Einklang mit Artikel 46 Kontrollen zum Schutz der ausgetauschten Informationen umfassen. (6) Innerhalb von 12 Monaten nach der Genehmigung der Mindest-Cybersicherheitskontrollen und der erweiterten Cybersicherheitskontrollen gemäß Artikel 8 Absatz 5 und nach jeder Aktualisierung gemäß Artikel 8 Absatz 10 wenden die in Artikel 2 Absatz 1 genannten Einrichtungen, die gemäß Artikel 24 als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft wurden, bei der Festlegung des Risikominderungsplans auf Ebene der Einrichtung gemäß Artikel 26 Absatz 5 innerhalb der Perimeter mit erheblichen Auswirkungen die Mindest-Cybersicherheitskontrollen und innerhalb der Perimeter mit kritischen Auswirkungen die erweiterten Cybersicherheitskontrollen an. Artikel 30 Ausnahmen von den Mindest-Cybersicherheitskontrollen und den erweiterten Cybersicherheitskontrollen (1) Die in Artikel 2 Absatz 1 aufgeführten Einrichtungen können bei der jeweils zuständigen Behörde eine Ausnahme von ihrer Verpflichtung zur Anwendung der Mindest-Cybersicherheitskontrollen und der erweiterten Cybersicherheitskontrollen gemäß Artikel 29 Absatz 6 beantragen. Die zuständige Behörde kann eine solche Ausnahme aus folgenden Gründen gewähren: a) unter außergewöhnlichen Umständen, wenn die Einrichtung nachweisen kann, dass die Kosten für die Durchführung geeigneter Cybersicherheitskontrollen den Nutzen erheblich übersteigen. Die ACER und ENTSO-E können in Zusammenarbeit mit der EU-VNBO zur Unterstützung der Einrichtungen gemeinsam Leitlinien für die Schätzung der Kosten von Cybersicherheitskontrollen ausarbeiten; b) bei Vorlage eines Risikobehandlungsplans auf Ebene der Einrichtung, mit dem die Cybersicherheitsrisiken durch alternative Kontrollen auf ein Niveau verringert werden, das nach den in Artikel 26 Absatz 3 Buchstabe b genannten Risikoakzeptanzkriterien akzeptiert werden kann. (2) Innerhalb von drei Monaten nach Eingang des in Absatz 1 genannten Antrags entscheidet jede zuständige Behörde, ob eine Ausnahme von den Mindest-Cybersicherheitskontrollen und den erweiterten Cybersicherheitskontrollen gewährt wird. Ausnahmen von den Mindest-Cybersicherheitskontrollen oder den erweiterten Cybersicherheitskontrollen werden für höchstens drei Jahre gewährt und können verlängert werden. (3) Aggregierte und anonymisierte Informationen zu den gewährten Ausnahmen werden dem umfassenden Bericht über die Bewertung des Cybersicherheitsrisikos für grenzüberschreitende Stromflüsse gemäß Artikel 23 als Anhang beigefügt. ENTSO-E und die EU-VNBO aktualisieren die Liste bei Bedarf gemeinsam. Artikel 31 Überprüfung des gemeinsamen Rahmens für die Cybersicherheit im Elektrizitätssektor (1) Spätestens 24 Monate nach der Annahme der in Artikel 28 Absatz 1 Buchstaben a, b und c genannten Kontrollen und der Einrichtung des in Buchstabe d jenes Artikels genannten Cybersicherheitsmanagementsystems muss jede gemäß Artikel 24 Absatz 1 ermittelte Einrichtung mit kritischen Auswirkungen in der Lage sein, auf Verlangen der zuständigen Behörde nachzuweisen, dass sie das Cybersicherheitsmanagementsystem und die Mindest-Cybersicherheitskontrollen oder die erweiterten Cybersicherheitskontrollen anwendet. (2) Jede Einrichtung mit kritischen Auswirkungen muss die in Absatz 1 genannte Verpflichtung erfüllen, indem sie sich einem von unabhängigen Dritten durchgeführten Sicherheitsaudit gemäß den Anforderungen aus Artikel 25 Absatz 2 unterzieht oder sich an einem nationalen Überprüfungssystem gemäß Artikel 25 Absatz 1 beteiligt. (3) Die Überprüfung, ob eine Einrichtung mit kritischen Auswirkungen das Cybersicherheitsmanagementsystem und die Mindest-Cybersicherheitskontrollen oder die erweiterten Cybersicherheitskontrollen anwendet, erstreckt sich auf alle Vermögenswerte der Einrichtung mit kritischen Auswirkungen innerhalb ihres Perimeters mit kritischen Auswirkungen. (4) Die Überprüfung, ob eine Einrichtung mit kritischen Auswirkungen das Cybersicherheitsmanagementsystem und die Mindest-Cybersicherheitskontrollen oder die erweiterten Cybersicherheitskontrollen anwendet, wird regelmäßig wiederholt, nämlich spätestens 36 Monate nach Ende der ersten Überprüfung und alle drei Jahre danach. (5) Jede gemäß Artikel 24 ermittelte Einrichtung mit kritischen Auswirkungen muss die Einhaltung der in Artikel 28 Absatz 1 Buchstaben a, b und c genannten Kontrollen und die Einrichtung des unter Buchstabe d jenes Artikels genannten Cybersicherheitsmanagementsystems nachweisen, indem sie der zuständigen Behörde über das Ergebnis der Überprüfung der Einhaltung Bericht erstattet. Artikel 32 Cybersicherheitsmanagementsystem (1) Innerhalb von 24 Monaten, nachdem sie von der zuständigen Behörde darüber unterrichtet wurde, dass sie gemäß Artikel 24 Absatz 6 als Einrichtung mit erheblichen oder kritischen Auswirkungen eingestuft wurde, richtet jede Einrichtung mit erheblichen oder kritischen Auswirkungen ein Cybersicherheitsmanagementsystem ein, das sie danach alle drei Jahre überprüft, um a) den Umfang des Cybersicherheitsmanagementsystems unter Berücksichtigung von Schnittstellen und Abhängigkeiten mit anderen Einrichtungen festzulegen; b) sicherzustellen, dass die gesamte obere Führungsebene über einschlägige rechtliche Verpflichtungen informiert ist und durch rechtzeitige Entscheidungen und rasche Reaktionen aktiv zur Umsetzung des Cybersicherheitsmanagementsystems beiträgt; c) sicherzustellen, dass die für das Cybersicherheitsmanagementsystem erforderlichen Ressourcen zur Verfügung stehen; d) ein Cybersicherheitskonzept festzulegen, das dokumentiert und innerhalb der Einrichtung sowie den von den Sicherheitsrisiken betroffenen Parteien bekannt gegeben wird; e) Zuständigkeiten für Aufgaben, die für die Cybersicherheit relevant sind, zuzuweisen und bekannt zu geben; f) das Cybersicherheitsrisikomanagement auf der Ebene der Einrichtungen gemäß Artikel 26 durchzuführen; g) die für die Umsetzung, Pflege und kontinuierliche Verbesserung des Cybersicherheitsmanagementsystems erforderlichen Ressourcen festzulegen und bereitzustellen, wobei die erforderlichen Kompetenzen und die Sensibilisierung für Cybersicherheitsressourcen zu berücksichtigen sind; h) die für die Cybersicherheit relevante interne und externe Kommunikation festzulegen; i) dokumentierte Informationen im Zusammenhang mit dem Cybersicherheitsmanagementsystem zu erstellen, zu aktualisieren und zu kontrollieren; j) die Ergebnisse und Wirksamkeit des Cybersicherheitsmanagementsystems zu beurteilen; k) in geplanten Zeitabständen interne Audits durchzuführen, um sicherzustellen, dass das Cybersicherheitsmanagementsystem wirksam umgesetzt und gepflegt wird; l) die Umsetzung des Cybersicherheitsmanagementsystems in geplanten Zeitabständen zu überprüfen und Abweichungen der Ressourcen und Tätigkeiten von den Konzepten, Verfahren und Leitlinien des Cybersicherheitsmanagementsystems zu kontrollieren und zu beheben. (2) Der Anwendungsbereich des Cybersicherheitsmanagementsystems der Einrichtung mit erheblichen oder kritischen Auswirkungen umfasst alle Vermögenswerte innerhalb ihres Perimeters mit erheblichen oder kritischen Auswirkungen. (3) Die zuständigen Behörden regen an, für die Sicherheit von Netz- und Informationssystemen relevante europäische oder internationaler Normen und Spezifikationen anzuwenden, ohne dabei die Nutzung einer bestimmten Technologie vorzuschreiben oder zu begünstigen. Artikel 33 Mindest-Cybersicherheitskontrollen und erweiterte Cybersicherheitskontrollen in der Lieferkette (1) Innerhalb von sieben Monaten nach Vorlage des ersten Entwurfs des Berichts über die unionsweite Bewertung des Cybersicherheitsrisikos gemäß Artikel 19 Absatz 4 erarbeiten die ÜNB mit Unterstützung von ENTSO-E und in Zusammenarbeit mit der EU-VNBO einen Vorschlag für Mindest-Cybersicherheitskontrollen und erweiterte Cybersicherheitskontrollen in der Lieferkette, mit denen die in den unionsweiten Bewertungen des Cybersicherheitsrisikos ermittelten Risiken für die Lieferketten gemindert werden, um die gemäß Artikel 29 entwickelten Mindest-Cybersicherheitskontrollen und erweiterten Cybersicherheitskontrollen zu ergänzen. Die Mindest-Cybersicherheitskontrollen und die erweiterten Cybersicherheitskontrollen in der Lieferkette werden zusammen mit den Mindest-Cybersicherheitskontrollen und erweiterten Cybersicherheitskontrollen gemäß Artikel 29 entwickelt. Die Mindest-Cybersicherheitskontrollen und die erweiterten Cybersicherheitskontrollen in der Lieferkette erstrecken sich auf den gesamten Lebenszyklus aller IKT-Produkte, -Dienste und -Prozesse einer Einrichtung mit erheblichen oder kritischen Auswirkungen innerhalb ihrer Perimeter mit erheblichen oder kritischen Auswirkungen. Bei der Entwicklung des Vorschlags für Mindest-Cybersicherheitskontrollen und erweiterte Cybersicherheitskontrollen in der Lieferkette wird die NIS-Kooperationsgruppe konsultiert. (2) Die Mindest-Cybersicherheitskontrollen in der Lieferkette bestehen aus Kontrollen für Einrichtungen mit erheblichen oder kritischen Auswirkungen, die a) auf Cybersicherheitsspezifikationen bezogene Empfehlungen für die Beschaffung von IKT-Produkten, -Diensten und -Prozessen enthalten und mindestens Folgendes abdecken: i) Zuverlässigkeitsüberprüfungen der Mitarbeiter des Anbieters, die an der Lieferkette beteiligt sind und sich mit sensiblen Informationen befassen oder Zugang zu Vermögenswerten mit erheblichen oder kritisch