Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

estgelegten Aufgabe unverbindliche Leitlinien für die Einrichtung solcher Kapazitäten oder die Vergabe von Unteraufträgen an MSSP für die Erbringung des Dienstes herausgeben. (3) Jede Einrichtung mit kritischen oder erheblichen Auswirkungen teilt ihren CSIRTs und der für sie zuständigen Behörde relevante Informationen im Zusammenhang mit einem meldepflichtigen Cyberangriff unverzüglich, spätestens jedoch vier Stunden, nachdem ihr bekannt wurde, dass der Sicherheitsvorfall meldepflichtig ist, mit. (4) Informationen im Zusammenhang mit einem Cyberangriff gelten als meldepflichtig, wenn der Cyberangriff bei der Bewertung durch die betroffene Einrichtung nach der Klassifizierungsmethode für Cyberangriffe gemäß Artikel 37 Absatz 8 als „erheblich“ bis „kritisch“ eingestuft wird. Die gemäß Absatz 1 Buchstabe c benannte zentrale Anlaufstelle auf Ebene der Einrichtung teilt die Einstufung des Sicherheitsvorfalls mit. (5) Übermitteln Einrichtungen mit kritischen oder erheblichen Auswirkungen relevante Informationen zu aktiv ausgenutzten Schwachstellen ohne Patch an ein CSIRT, so kann dieses diese Informationen an die für das CSIRT zuständige Behörde weiterleiten. Je nach Sensibilität der gemeldeten Informationen kann das CSIRT die Informationen aus triftigen cybersicherheitsbezogenen Gründen zurückhalten oder zeitverzögert übermitteln. (6) Jede Einrichtung mit kritischen oder erheblichen Auswirkungen stellt ihren CSIRTs unverzüglich alle Informationen im Zusammenhang mit einer meldepflichtigen Cyberbedrohung bereit, die grenzüberschreitende Auswirkungen haben könnte. Informationen im Zusammenhang mit einer Cyberbedrohung gelten als meldepflichtig, wenn mindestens eine der folgenden Bedingungen erfüllt ist: a) Sie umfassen relevante Informationen für die Verhütung, Erkennung, Behandlung oder Minderung der Auswirkungen des Risikos durch andere Einrichtungen mit kritischen oder erheblichen Auswirkungen; b) die ermittelten, im Zusammenhang mit einem Angriff genutzten Vorgehensweisen, Taktiken und Verfahren sind mit Informationen wie kompromittierten URL-Adressen oder IP-Adressen, Hashs oder anderen Attributen verbunden, die für die Kontextualisierung und Zuordnung des Angriffs nützlich sind; c) eine Cyberbedrohung kann weiter bewertet und mit zusätzlichen Informationen verknüpft werden, die von Dienstanbietern oder Dritten, die nicht dieser Verordnung unterliegen, bereitgestellt werden. (7) Jede Einrichtung mit kritischen oder erheblichen Auswirkungen gibt beim Austausch von Informationen gemäß diesem Artikel an, a) dass die Informationen gemäß dieser Verordnung übermittelt werden; b) ob die Informationen Folgendes betreffen: i) einen meldepflichtigen Cyberangriff gemäß Absatz 3; ii) nicht öffentlich bekannte aktiv ausgenutzte Schwachstellen ohne Patch gemäß Absatz 4; iii) eine meldepflichtige Cyberbedrohung gemäß Absatz 5; c) im Falle eines meldepflichtigen Cyberangriffs, welchen Grad der Cyberangriff nach der in Artikel 37 Absatz 8 genannten Klassifizierungsmethode für Cyberangriffe aufweist und welche Informationen zu dieser Einstufung geführt haben, einschließlich mindestens der Kritikalität des Cyberangriffs. (8) Meldet eine Einrichtung mit kritischen oder erheblichen Auswirkungen einen erheblichen Sicherheitsvorfall gemäß Artikel 23 der Richtlinie (EU) 2022/2555 und enthält die Meldung des Sicherheitsvorfalls nach dem genannten Artikel einschlägige Informationen gemäß Absatz 3 des vorliegenden Artikels, so gilt die Meldung der Einrichtung nach Artikel 23 Absatz 1 der genannten Richtlinie auch als Meldung von Informationen gemäß Absatz 3 des vorliegenden Artikels. (9) Jede Einrichtung mit kritischen oder erheblichen Auswirkungen erstattet der für sie zuständigen Behörde oder dem CSIRT Bericht, wobei sie klar angibt, welche Informationen nur an die zuständige Behörde oder das CSIRT übermittelt werden dürfen, wenn der Informationsaustausch die Quelle eines Cyberangriffs sein könnte. Jede Einrichtung mit kritischen oder erheblichen Auswirkungen hat das Recht, dem zuständigen CSIRT eine nichtvertrauliche Fassung der Informationen zur Verfügung zu stellen. Artikel 39 Erkennung von Cyberangriffen und Umgang mit den damit zusammenhängenden Informationen (1) Einrichtungen mit erheblichen oder kritischen Auswirkungen entwickeln mit der erforderlichen Unterstützung der jeweils zuständigen Behörde, von ENTSO-E und der EU-VNBO die erforderlichen Kapazitäten für den Umgang mit entdeckten Cyberangriffen. Einrichtungen mit kritischen oder erheblichen Auswirkungen können von dem CSIRT unterstützt werden, das in ihrem jeweiligen Mitgliedstaat im Rahmen der den CSIRTs gemäß Artikel 11 Absatz 5 Buchstabe a der Richtlinie (EU) 2022/2555 übertragenen Aufgabe benannt wurde. Einrichtungen mit kritischen oder erheblichen Auswirkungen setzen wirksame Verfahren zur Ermittlung, Klassifizierung und Bewältigung von Cyberangriffen ein, die sich auf grenzüberschreitende Stromflüsse auswirken oder auswirken könnten, um deren Auswirkungen möglichst gering zu halten. (2) Hat ein Cyberangriff Auswirkungen auf grenzüberschreitende Stromflüsse, so arbeiten die zentralen Anlaufstellen auf Ebene der betroffenen Einrichtungen mit kritischen oder erheblichen Auswirkungen zusammen, um Informationen untereinander auszutauschen, wobei sie von der zuständigen Behörde des Mitgliedstaats, in dem der Cyberangriff zuerst gemeldet wurde, koordiniert werden. (3) Einrichtungen mit kritischen oder erheblichen Auswirkungen a) stellen sicher, dass ihre eigene zentrale Anlaufstelle auf Ebene der Einrichtung nach dem Grundsatz „Kenntnis nur, wenn nötig“ Zugang zu den Informationen hat, die sie von der nationalen zentralen Anlaufstelle über ihre zuständige Behörde erhalten hat; b) übermitteln, sofern dies nicht bereits gemäß Artikel 3 Absatz 4 der Richtlinie (EU) 2022/2555 geschehen ist, der zuständigen Behörde des Mitgliedstaats, in dem sie niedergelassen sind, und der nationalen zentralen Anlaufstelle eine Liste ihrer für die Cybersicherheit zuständigen zentralen Anlaufstellen, i) von denen die zuständige Behörde und die nationale zentrale Anlaufstelle Informationen über meldepflichtige Cyberangriffe erhalten könnte; ii) an die die zuständigen Behörden und die nationalen zentralen Anlaufstellen gegebenenfalls Informationen übermitteln müssen; c) richten auf der Grundlage der beobachtbaren Entwicklung des Cyberangriffs innerhalb der Perimeter mit kritischen oder erheblichen Auswirkungen Verfahren zur Bewältigung von Cyberangriffen ein, einschließlich Rollen und Zuständigkeiten, Aufgaben und Reaktionen; d) testen mindestens einmal jährlich alle Verfahren zur Bewältigung von Cyberangriffen, wobei sie mindestens ein Szenario testen, das sich direkt oder indirekt auf grenzüberschreitende Stromflüsse auswirkt. Dieser jährliche Test kann von Einrichtungen mit kritischen oder erheblichen Auswirkungen während der regelmäßigen Übungen gemäß Artikel 43 durchgeführt werden. Jede Live-Reaktionsmaßnahme auf einen Cyberangriff mit einer Folge, die gemäß der in Artikel 37 Absatz 8 genannten Klassifizierungsmethode für Cyberangriffe mindestens in die Stufe 2 eingestuft wird und der eine Cybersicherheitsursache zugrunde liegt, kann als jährlicher Test des Plans für die Reaktion auf Cyberangriffe betrachtet werden. (4) Die in Absatz 1 aufgeführten Aufgaben können von den Mitgliedstaaten gemäß Artikel 37 Absatz 2 der Verordnung (EU) 2019/943 auch an die regionalen Koordinierungszentren delegiert werden. Artikel 40 Krisenmanagement (1) Stellt die zuständige Behörde fest, dass eine Stromversorgungskrise im Zusammenhang mit einem Cyberangriff steht, der Auswirkungen auf mehr als einen Mitgliedstaat hat, setzen die zuständigen Behörden der betroffenen Mitgliedstaaten, die CS-NCA, die RP-NCA und die NIS-Behörden für das Cyberkrisenmanagement der betroffenen Mitgliedstaaten gemeinsam eine Ad-hoc-Koordinierungsgruppe für grenzüberschreitende Krisen ein. (2) Die Ad-hoc-Koordinierungsgruppe für grenzüberschreitende Krisen a) koordiniert eine effiziente Einholung aller relevanten Cybersicherheitsinformationen und deren weitere Übermittlung an die am Krisenmanagementprozess beteiligten Einrichtungen; b) organisiert die Kommunikation zwischen allen von der Krise betroffenen Einrichtungen und den zuständigen Behörden, um Überschneidungen zu verringern und die Effizienz der Analysen und technischen Reaktionen zur Bewältigung zeitgleich auftretender Stromversorgungskrisen, denen eine Cybersicherheitsursache zugrunde liegt, zu erhöhen; c) stellt in Zusammenarbeit mit den zuständigen CSIRTs das erforderliche Fachwissen bereit, einschließlich operativer Beratung bei der Umsetzung möglicher Abhilfemaßnahmen für die von dem Sicherheitsvorfall betroffenen Einrichtungen; d) unterrichtet die Kommission und die Koordinierungsgruppe „Strom“ im Einklang mit den in Artikel 46 festgelegten Schutzprinzipien über den Stand des Sicherheitsvorfalls und aktualisiert diese Informationen regelmäßig; e) holt Rat bei den zuständigen Behörden, Agenturen oder Einrichtungen ein, die zur Bewältigung der Stromversorgungskrise beitragen könnten. (3) Gilt der Cyberangriff als Cybersicherheitsvorfall großen Ausmaßes oder wird dies erwartet, unterrichtet die Ad-hoc-Koordinierungsgruppe für grenzüberschreitende Krisen unverzüglich die nationalen Behörden für das Cyberkrisenmanagement gemäß Artikel 9 Absatz 1 der Richtlinie (EU) 2022/2555 in den von dem Sicherheitsvorfall betroffenen Mitgliedstaaten sowie die Kommission und das Europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe). In einer solchen Situation unterstützt die Ad-hoc-Koordinierungsgruppe für grenzüberschreitende Krisen das EU-CyCLONe in Bezug auf sektorale Besonderheiten. (4) Einrichtungen mit kritischen oder erheblichen Auswirkungen müssen Kapazitäten, interne Leitlinien, Vorsorgepläne und Personal, das an der Aufdeckung und Eindämmung grenzüberschreitender Krisen mitwirkt, vorsehen und darüber verfügen. Die von einer zeitgleich auftretenden Stromversorgungskrise betroffene Einrichtung mit kritischen oder erheblichen Auswirkungen untersucht die zugrunde liegende Ursache dieser Krise in Zusammenarbeit mit der für sie zuständigen Behörde, um festzustellen, inwieweit die Krise mit einem Cyberangriff in Verbindung steht. (5) Die in Absatz 4 genannten Aufgaben können von den Mitgliedstaaten gemäß Artikel 37 Absatz 2 der Verordnung (EU) 2019/943 auch an die regionalen Koordinierungszentren delegiert werden. Artikel 41 Cybersicherheitskrisenmanagement- und -reaktionspläne (1) Innerhalb von 24 Monaten nach der Übermittlung des Berichts über die unionsweite Risikobewertung an die ACER entwickelt diese in enger Zusammenarbeit mit der ENISA, ENTSO-E, der EU-VNBO, den CS-NCA, den zuständigen Behörden, den RP-NCA, den NRB und den nationalen NIS-Behörden für das Cyberkrisenmanagement einen unionsweiten Cybersicherheitskrisenmanagement- und -reaktionsplan für den Elektrizitätssektor. (2) Innerhalb von 12 Monaten nach der Ausarbeitung des unionsweiten Cybersicherheitskrisenmanagement- und -reaktionsplans für den Elektrizitätssektor gemäß Absatz 1 durch die ACER erstellt jede zuständige Behörde einen nationalen Cybersicherheitskrisenmanagement- und -reaktionsplan für grenzüberschreitende Stromflüsse unter Berücksichtigung des unionsweiten Cybersicherheitskrisenmanagement- und -reaktionsplans für den Elektrizitätssektor und des gemäß Artikel 10 der Verordnung (EU) 2019/941 erstellten nationalen Risikovorsorgeplans. Dieser Plan muss mit dem Plan für die Reaktion auf Cybersicherheitsvorfälle großen Ausmaßes und Krisen gemäß Artikel 9 Absatz 4 der Richtlinie (EU) 2022/2555 im Einklang stehen. Die zuständige Behörde stimmt sich mit den Einrichtungen mit kritischen oder erheblichen Auswirkungen sowie mit der RP-NCA in ihrem Mitgliedstaat ab. (3) Der gemäß Artikel 9 Absatz 4 der Richtlinie (EU) 2022/2555 erforderliche nationale Plan für die Reaktion auf Cybersicherheitsvorfälle großen Ausmaßes und Krisen gilt als nationaler Plan für das Cybersicherheitskrisenmanagement im Sinne dieses Artikels, wenn er Bestimmungen für das Krisenmanagement und die Krisenreaktion in Bezug auf grenzüberschreitende Stromflüsse enthält. (4) Die in den Absätzen 1 und 2 aufgeführten Aufgaben können von den Mitgliedstaaten gemäß Artikel 37 Absatz 2 der Verordnung (EU) 2019/943 auch an die regionalen Koordinierungszentren delegiert werden. (5) Einrichtungen mit kritischen oder erheblichen Auswirkungen stellen sicher, dass ihre Krisenmanagementprozesse im Bereich der Cybersicherheit a) kompatible Verfahren für die grenzüberschreitende Bewältigung von Cybersicherheitsvorfällen gemäß Artikel 6 Nummer 8 der Richtlinie (EU) 2022/2555 umfassen, die förmlich in ihren Krisenmanagementpläne enthalten sind; b) Teil der allgemeinen Krisenmanagementmaßnahmen sind. (6) Innerhalb von 12 Monaten nach der Unterrichtung der Einrichtungen mit erheblichen oder kritischen Auswirkungen gemäß Artikel 24 Absatz 6 und danach alle drei Jahre erstellen Einrichtungen mit kritischen oder erheblichen Auswirkungen auf Ebene der Einrichtung einen Krisenmanagementplan für Cybersicherheitskrisen, der in ihre allgemeinen Krisenmanagementpläne aufgenommen wird. Dieser Plan muss mindestens Folgendes umfassen: a) Regeln für die Erklärung einer Krise gemäß Artikel 14 Absätze 2 und 3 der Verordnung (EU) 2019/941; b) klare Aufgaben und Zuständigkeiten für das Krisenmanagement, einschließlich der Rolle anderer relevanter Einrichtungen mit kritischen oder erheblichen Auswirkungen; c) aktuelle Kontaktinformationen sowie Regeln für die Kommunikation und den Informationsaustausch während einer Krisensituation, einschließlich der Verbindung zu den CSIRTs. (7) Die Maßnahmen für das Krisenmanagement gemäß Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555 gelten als Krisenmanagementplan auf Ebene der Einrichtung für den Elektrizitätssektor im Sinne dieses Artikels, wenn sie alle in Absatz 6 aufgeführten Anforderungen erfüllen. (8) Die Krisenmanagementpläne werden in den Cybersicherheitsübungen gemäß den Artikeln 43, 44 und 45 getestet. (9) In Bezug auf Prozesse mit kritischen oder erheblichen Auswirkungen nehmen Einrichtungen mit kritischen oder erheblichen Auswirkungen ihre Krisenmanagementpläne auf Ebene der Einrichtung in ihre Pläne zur Aufrechterhaltung des Geschäftsbetriebs (Business Continuity) auf. Die Krisenmanagementpläne auf Ebene der Einrichtung müssen Folgendes umfassen: a) Prozesse, die von der Verfügbarkeit, Integrität und Zuverlässigkeit von IT-Diensten abhängen; b) alle Standorte für die Aufrechterhaltung des Geschäftsbetriebs, einschließlich der Standorte für Hardware und Software; c) alle internen Aufgaben und Zuständigkeiten im Zusammenhang mit den Verfahren zur Aufrechterhaltung des Geschäftsbetriebs. (10) Einrichtungen mit kritischen oder erheblichen Auswirkungen aktualisieren ihre Krisenmanagementpläne auf Ebene der Einrichtung mindestens alle drei Jahre sowie immer dann, wenn dies erforderlich ist. (11) Die ACER aktualisiert den gemäß Absatz 1 erstellten unionsweiten Cybersicherheitskrisenmanagement- und -reaktionsplan für den Elektrizitätssektor mindestens alle drei Jahre sowie immer dann, wenn dies erforderlich ist. (12) Jede zuständige Behörde aktualisiert den gemäß Absatz 2 erstellten nationalen Cybersicherheitskrisenmanagement- und -reaktionsplan für grenzüberschreitende Stromflüsse mindestens alle drei Jahre sowie immer dann, wenn dies erforderlich ist. (13) Einrichtungen mit kritischen oder erheblichen Auswirkungen testen ihre Pläne zur Aufrechterhaltung des Geschäftsbetriebs mindestens einmal alle drei Jahre oder nach größeren Änderungen in einem Prozess mit kritischen Auswirkungen. Die Ergebnisse der Tests der Pläne zur Aufrechterhaltung des Geschäftsbetriebs werden dokumentiert. Einrichtungen mit kritischen oder erheblichen Auswirkungen können den Test ihres Plans zur Aufrechterhaltung des Geschäftsbetriebs in die Cybersicherheitsübungen einbeziehen. (14) Einrichtungen mit kritischen oder erheblichen Auswirkungen aktualisieren ihren Plan zur Aufrechterhaltung des Geschäftsbetriebs immer bei Bedarf und mindestens einmal alle drei Jahre unter Berücksichtigung der Ergebnisse des Tests. (15) Werden bei einem Test Mängel im Plan zur Aufrechterhaltung des Geschäftsbetriebs festgestellt, behebt die Einrichtung mit kritischen oder erheblichen Auswirkungen diese Mängel innerhalb von 180 Kalendertagen nach dem Test und führt einen neuen Test durch, um nachzuweisen, dass die Korrekturmaßnahmen wirksam sind. (16) Kann eine Einrichtung mit kritischen oder erheblichen Auswirkungen die Mängel nicht innerhalb von 180 Kalendertagen beheben, nimmt sie die Gründe in den Bericht auf, der der für sie zuständigen Behörde gemäß Artikel 27 vorzulegen ist. Artikel 42 Cybersicherheits-Frühwarnkapazitäten für den Elektrizitätssektor (1) Die zuständigen Behörden arbeiten mit der ENISA zusammen, um im Rahmen der Unterstützung für die Mitgliedstaaten gemäß Artikel 6 Absätze 2 und 7 der Verordnung (EU) 2019/881 Frühwarnkapazitäten für die Cybersicherheit im Elektrizitätsbereich (Electricity Cybersecurity Early Alert Capabilities, ECEAC) zu entwickeln. (2) Die ECEAC müssen es der ENISA bei der Wahrnehmung der in Artikel 7 Absatz 7 der Verordnung (EU) 2019/881 aufgeführten Aufgaben ermöglichen, a) freiwillig ausgetauschte Informationen einzuholen bei: i) CSIRTs, zuständigen Behörden; ii) den in Artikel 2 der vorliegenden Verordnung aufgeführten Einrichtungen; iii) jeder anderen Einrichtung, die relevante Informationen auf freiwilliger Basis weitergeben möchte; b) die eingeholten Informationen zu bewerten und zu klassifizieren; c) die Informationen zu bewerten, zu denen die ENISA Zugang hat, um Risikobedingungen für die Cybersicherheit und relevante Indikatoren für Aspekte grenzüberschreitender Stromflüsse zu ermitteln; d) Bedingungen und Indikatoren zu ermitteln, die häufig mit Cyberangriffen im Elektrizitätssektor korrelieren; e) anhand der Bewertung und Ermittlung von Risikofaktoren festzulegen, ob weitere Analysen vorzunehmen und Präventivmaßnahmen zu ergreifen sind; f) die zuständigen Behörden über die ermittelten Risiken und empfohlene Präventionsmaßnahmen für die betreffenden Einrichtungen zu unterrichten; g) alle in Artikel 2 aufgeführten relevanten Einrichtungen über die Ergebnisse der gemäß den Buchstaben b, c und d dieses Absatzes bewerteten Informationen zu unterrichten; h) die einschlägigen Informationen regelmäßig in den gemäß Artikel 7 Absatz 6 der Verordnung (EU) 2019/881 erstellten EU-Cybersicherheitslagebericht aufnehmen; i) soweit möglich, aus den erhobenen Informationen anwendbare Daten abzuleiten, die darauf hindeuten, dass ein potenzieller Sicherheitsverstoß oder Cyberangriff („Kompromittierungsindikatoren“) vorliegt. (3) Die CSIRTs leiten die von der ENISA bereitgestellten Informationen im Rahmen ihrer in Artikel 11 Absatz 3 Buchstabe b der Richtlinie (EU) 2022/2555 festgelegten Aufgaben unverzüglich an die betreffenden Einrichtungen weiter. (4) Die ACER überwacht die Wirksamkeit der ECEAC. Die ENISA unterstützt die ACER durch Bereitstellung aller erforderlichen Informationen gemäß Artikel 6 Absatz 2 und Artikel 7 Absatz 1 der Verordnung (EU) 2019/881. Die Analyse dieser Überwachungstätigkeit ist Teil der Überwachung gemäß Artikel 12 der vorliegenden Verordnung. KAPITEL VI RAHMEN FÜR CYBERSICHERHEITSÜBUNGEN IM ELEKTRIZITÄTSSEKTOR Artikel 43 Cybersicherheitsübungen auf Ebene der Einrichtungen und der Mitgliedstaaten (1) Bis zum 31. Dezember des Jahres nach der Unterrichtung der Einrichtungen mit kritischen Auswirkungen und danach alle drei Jahre führt jede Einrichtung mit kritischen Auswirkungen eine Cybersicherheitsübung durch, die ein oder mehrere Szenarien mit Cyberangriffen umfasst, die sich direkt oder indirekt auf grenzüberschreitende Stromflüsse auswirken und mit den gemäß den Artikeln 20 und 27 bei den Cybersicherheitsrisikobewertungen auf Ebene der Mitgliedstaaten und Einrichtungen ermittelten Risiken im Zusammenhang stehen. (2) Abweichend von Absatz 1 kann die RP-NCA nach Konsultation der zuständigen Behörde und der gemäß Artikel 9 der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörde für das Cyberkrisenmanagement beschließen, anstelle der Cybersicherheitsübung auf Ebene der Einrichtung eine Cybersicherheitsübung gemäß Absatz 1 auf Ebene des Mitgliedstaats durchzuführen. In diesem Zusammenhang unterrichtet die zuständige Behörde a) alle Einrichtungen mit kritischen Auswirkungen ihres Mitgliedstaats, die NRB, die CSIRTs und die CS-NCA bis spätestens 30. Juni des Jahres, das der Cybersicherheitsübung auf Ebene der Einrichtungen vorausgeht; b) jede Einrichtung, die an der Cybersicherheitsübung auf Ebene des Mitgliedstaats teilnehmen muss, spätestens sechs Monate vor der Übung. (3) Die RP-NCA organisiert mit technischer Unterstützung ihrer CSIRTs die in Absatz 2 beschriebene Cybersicherheitsübung auf Ebene des Mitgliedstaats getrennt oder zusammen mit einer anderen Cybersicherheitsübung in diesem Mitgliedstaat. Um diese Übungen zusammenfassen zu können, kann die RP-NCA die in Absatz 1 genannte Cybersicherheitsübung auf Ebene des Mitgliedstaats um ein Jahr verschieben. (4) Die Cybersicherheitsübungen auf Eb