Beschluss (GASP) 2019/797 des Rates vom 17. Mai 2019 über restriktive Maßnahmen gegen Cyberangriffe, die die Union oder ihre Mitgliedstaaten bedrohen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

02019D0797 — DE — 13.07.2026 — 015.002 Dieser Text dient lediglich zu Informationszwecken und hat keine Rechtswirkung. Die EU-Organe übernehmen keine Haftung für seinen Inhalt. Verbindliche Fassungen der betreffenden Rechtsakte einschließlich ihrer Präambeln sind nur die im Amtsblatt der Europäischen Union veröffentlichten und auf EUR-Lex verfügbaren Texte. Diese amtlichen Texte sind über die Links in diesem Dokument unmittelbar zugänglich ►B BESCHLUSS (GASP) 2019/797 DES RATES vom 17. Mai 2019 über restriktive Maßnahmen gegen Cyberangriffe, die die Union oder ihre Mitgliedstaaten bedrohen (ABl. L 129I vom 17.5.2019, S. 13) Geändert durch: Amtsblatt Nr. Seite Datum M1 BESCHLUSS (GASP) 2020/651 DES RATES vom 14. Mai 2020 L 153 4 15.5.2020 ►M2 BESCHLUSS (GASP) 2020/1127 DES RATES vom 30. Juli 2020 L 246 12 30.7.2020 M3 BESCHLUSS (GASP) 2020/1537 DES RATES vom 22. Oktober 2020 L 351I 5 22.10.2020 M4 BESCHLUSS (GASP) 2020/1748 DES RATES vom 20. November 2020 L 393 19 23.11.2020 M5 BESCHLUSS (GASP) 2021/796 DES RATES vom 17. Mai 2021 L 174I 1 18.5.2021 M6 BESCHLUSS (GASP) 2022/754 DES RATES vom 16. Mai 2022 L 138 16 17.5.2022 M7 BESCHLUSS (GASP) 2023/964 DES RATES vom 15. Mai 2023 L 129 16 16.5.2023 ►M8 BESCHLUSS (GASP) 2023/2686 DES RATES vom 27. November 2023 L 2686 1 28.11.2023 ►M9 BESCHLUSS (GASP) 2024/1391 DES RATES vom 17. Mai 2024 L 1391 1 17.5.2024 ►M10 BESCHLUSS (GASP) 2024/1779 DES RATES vom 24. Juni 2024 L 1779 1 24.6.2024 ►M11 BESCHLUSS (GASP) 2025/171 DES RATES vom 27. Januar 2025 L 171 1 27.1.2025 ►M12 BESCHLUSS (GASP) 2025/887 DES RATES vom 12. Mai 2025 L 887 1 13.5.2025 ►M13 BESCHLUSS (GASP) 2026/588 DES RATES vom 16. März 2026 L 588 1 16.3.2026 ►M14 BESCHLUSS (GASP) 2026/1079 DES RATES vom 11. Mai 2026 L 1079 1 12.5.2026 ►M15 BESCHLUSS (GASP) 2026/1713 DES RATES vom 13. Juli 2026 L 1713 1 13.7.2026 Berichtigt durch: ►C1 Berichtigung, ABl. L 230 vom 17.7.2020, S. 36 (2019/797) ►C2 Berichtigung, ABl. L 90401 vom 9.7.2024, S. 1 (2024/1779) ►C3 Berichtigung, ABl. L 90642 vom 30.7.2026, S. 1 (2026/1713) ▼B BESCHLUSS (GASP) 2019/797 DES RATES vom 17. Mai 2019 über restriktive Maßnahmen gegen Cyberangriffe, die die Union oder ihre Mitgliedstaaten bedrohen Artikel 1 (1) Dieser Beschluss gilt für Cyberangriffe mit erheblichen Auswirkungen, einschließlich versuchter Cyberangriffe mit potenziell erheblichen Auswirkungen, die eine äußere Bedrohung für die Union oder ihre Mitgliedstaaten darstellen. (2) Zu Cyberangriffen, die eine äußere Bedrohung darstellen, zählen Cyberangriffe, die a) ihren Ausgang außerhalb der Union haben oder von dort durchgeführt werden, b) außerhalb der Union befindliche Infrastrukturen nutzen, c) von natürlichen oder juristischen Personen, Organisationen oder Einrichtungen, die außerhalb der Union ansässig oder tätig sind, durchgeführt werden oder d) mit Unterstützung, auf Anweisung oder unter der Kontrolle von natürlichen oder juristischen Personen, Organisationen oder Einrichtungen, die außerhalb der Union tätig sind, durchgeführt werden. (3) Zu diesem Zweck sind Cyberangriffe Handlungen, die a) den Zugang zu Informationssystemen, b) den Eingriff in Informationssysteme, c) den Eingriff in Daten oder d) das Abfangen von Daten umfassen, wenn diese Handlungen vom Eigentümer oder einem anderen Rechtsinhaber des Systems oder der Daten oder eines Teils des Systems oder der Daten nicht ordnungsgemäß gestattet wurden oder nach dem Recht der Union oder des betreffenden Mitgliedstaats nicht zulässig sind. (4) Zu Cyberangriffen, die eine Bedrohung für die Mitgliedstaaten darstellen, zählen Cyberangriffe auf Informationssysteme, u. a. in den folgenden Bereichen: a) kritische Infrastrukturen, einschließlich Seekabel und in den Weltraum gestarteter Gegenstände, die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen oder der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind; b) Dienstleistungen, die für die Aufrechterhaltung wesentlicher sozialer und/oder wirtschaftlicher Tätigkeiten erforderlich sind, insbesondere in den Sektoren: Energie (Elektrizität, Öl und Gas), Verkehr (Luft, Schiene, Wasser und Straße), Bankenwesen, Finanzmarktinfrastrukturen, Gesundheitswesen (Gesundheitsdienstleister, Krankenhäuser und Privatkliniken), Trinkwasserlieferung und -versorgung oder digitale Infrastruktur und in anderen Sektoren, die für den betreffenden Mitgliedstaat von wesentlicher Bedeutung sind; c) kritische staatliche Funktionen, insbesondere in den Bereichen Verteidigung, Staatsführung und Funktionieren der Institutionen, u. a. im Zusammenhang mit Wahlen oder dem Wahlvorgang, Funktionieren der wirtschaftlichen und der zivilen Infrastruktur, innere Sicherheit sowie Außenbeziehungen, einschließlich mittels diplomatischer Missionen; d) Speicherung oder Verarbeitung von Verschlusssachen oder e) Katastrophenstäbe der Regierungen. (5) Zu Cyberangriffen, die eine Bedrohung für die Union darstellen, zählen Cyberangriffe, die gegen ihre Organe, Einrichtungen und sonstigen Stellen, ihre Delegationen in Drittstaaten oder bei internationalen Organisationen, ihre Operationen und Missionen im Bereich der Gemeinsamen Sicherheits- und Verteidigungspolitik (GSVP) und ihre Sonderbeauftragten geführt werden. (6) Sofern dies für notwendig erachtet wird, um die in den einschlägigen Bestimmungen des Artikels 21 des Vertrags über die Europäische Union festgelegten Ziele der GASP zu erreichen, können restriktive Maßnahmen gemäß diesem Beschluss auch zur Reaktion auf gegen Drittstaaten oder internationale Organisationen gerichtete Cyberangriffe mit erheblichen Auswirkungen angewandt werden. Artikel 2 Für die Zwecke dieses Beschlusses bezeichnet der Ausdruck a) „Informationssysteme“ eine Vorrichtung oder eine Gruppe miteinander verbundener oder zusammenhängender Vorrichtungen, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung von digitalen Daten durchführen, sowie die von ihr oder ihnen zum Zwecke des Betriebs, der Nutzung, des Schutzes und der Pflege gespeicherten, verarbeiteten, abgerufenen oder übertragenen digitalen Daten; b) „Eingriff in Informationssysteme“ eine Behinderung oder Störung des Betriebs eines Informationssystems durch Eingeben von digitalen Daten, durch Übermitteln, Beschädigen, Löschen, Beeinträchtigen, Verändern oder Unterdrücken von digitalen Daten oder durch Unzugänglichmachen von digitalen Daten; c) „Eingriff in Daten“ das Löschen, Beschädigen, Beeinträchtigen, Verändern, Unterdrücken oder Unzugänglichmachen von digitalen Daten eines Informationssystems; hierunter fällt auch der Diebstahl von Daten, Geldern, wirtschaftlichen Ressourcen oder geistigem Eigentum; d) „Abfangen von Daten“ das mit technischen Hilfsmitteln bewirkte Abfangen nichtöffentlicher digitaler Datenübermittlungen an ein Informationssystem, aus einem Informationssystem oder innerhalb eines Informationssystems, einschließlich elektromagnetischer Abstrahlungen aus einem Informationssystem, das Träger solcher digitaler Daten ist. Artikel 3 Zu den Faktoren, anhand deren festgestellt wird, ob ein Cyberangriff erhebliche Auswirkungen im Sinne von Artikel 1 Absatz 1 hat, gehören die folgenden: a) Umfang, Ausmaß, Wirkung oder Schwere der verursachten Störung, einschließlich für wirtschaftliche und gesellschaftliche Tätigkeiten, wesentliche Dienste, kritische staatliche Funktionen, die öffentliche Ordnung oder die öffentliche Sicherheit; b) die Zahl der betroffenen natürlichen oder juristischen Personen, Organisationen oder Einrichtungen; c) die Zahl der betroffenen Mitgliedstaaten; d) die Höhe des wirtschaftlichen Schadens, der z. B. durch einen groß angelegten Diebstahl von Geldern, wirtschaftlichen Ressourcen oder geistigem Eigentum verursacht wurde; e) der vom Täter für sich selbst oder für andere erlangte wirtschaftliche Nutzen; f) die Menge oder Art der gestohlenen Daten oder das Ausmaß der Datenschutzverstöße oder g) die Art der wirtschaftlich sensiblen Daten, auf die zugegriffen wurde. Artikel 4 (1) Die Mitgliedstaaten ergreifen die erforderlichen Maßnahmen, um folgende Personen an der Einreise in oder der Durchreise durch ihr Hoheitsgebiet zu hindern: a) natürliche Personen, die für Cyberangriffe oder versuchte Cyberangriffe verantwortlich sind, b) natürliche Personen, die finanzielle, technische oder materielle Unterstützung für Cyberangriffe oder versuchte Cyberangriffe leisten oder auf andere Weise, einschließlich durch Planung, Vorbereitung, Mitwirkung, Steuerung, Unterstützung oder Ermutigung, daran beteiligt sind oder sie durch Handlung oder Unterlassung erleichtern, c) natürliche Personen, die mit den unter den Buchstaben a und b genannten natürlichen Personen in Verbindung stehen, wie im Anhang aufgeführt. (2) Absatz 1 verpflichtet die Mitgliedstaaten nicht dazu, ihren eigenen Staatsangehörigen die Einreise in ihr Hoheitsgebiet zu verweigern. (3) Absatz 1 lässt die Fälle unberührt, in denen für einen Mitgliedstaat eine völkerrechtliche Verpflichtung besteht, und zwar a) als Gastland einer internationalen zwischenstaatlichen Organisation, b) als Gastland einer internationalen Konferenz, die von den Vereinten Nationen einberufen wurde oder unter ihrer Schirmherrschaft steht, c) im Rahmen eines multilateralen Übereinkommens, das Vorrechte und Immunitäten verleiht, oder d) im Rahmen des 1929 zwischen dem Heiligen Stuhl (Staat Vatikanstadt) und Italien geschlossenen Lateranvertrags. (4) Absatz 3 gilt auch in den Fällen, in denen ein Mitgliedstaat Gastland der Organisation für Sicherheit und Zusammenarbeit in Europa (OSZE) ist. (5) Der Rat ist in allen Fällen, in denen ein Mitgliedstaat eine Ausnahme aufgrund von Absatz 3 oder 4 gewährt, ordnungsgemäß zu unterrichten. (6) Die Mitgliedstaaten können Ausnahmen von den Maßnahmen nach Absatz 1 in den Fällen zulassen, in denen die Reise aufgrund einer humanitären Notlage oder aufgrund der Teilnahme an Tagungen auf zwischenstaatlicher Ebene oder an Tagungen, die von der Union unterstützt oder ausgerichtet werden oder aber von einem Mitgliedstaat, der zu dem Zeitpunkt den OSZE-Vorsitz inne hat, ausgerichtet werden, gerechtfertigt ist, wenn dort ein politischer Dialog geführt wird, der die politischen Zielen der restriktiven Maßnahmen, einschließlich der Sicherheit und Stabilität im Cyberraum, unmittelbar fördert. (7) Mitgliedstaaten können auch dann Ausnahmen von den Maßnahmen nach Absatz 1 zulassen, wenn die Einreise oder Durchreise für die Teilnahme an einem Gerichtsverfahren notwendig ist. (8) Ein Mitgliedstaat, der Ausnahmen nach Absatz 6 oder 7 zulassen möchte, unterrichtet den Rat schriftlich hiervon. Die Ausnahme gilt als gewährt, wenn nicht von einem oder mehreren Mitgliedern des Rates innerhalb von zwei Arbeitstagen nach Eingang der Mitteilung über die vorgeschlagene Ausnahme schriftlich Einwand erhoben wird. Wenn von einem oder mehreren Mitgliedern des Rates Einwand erhoben wird, so kann der Rat mit qualifizierter Mehrheit beschließen, die vorgeschlagene Ausnahme zu gewähren. (9) In den Fällen, in denen ein Mitgliedstaat den im Anhang aufgeführten Personen die Einreise in sein Hoheitsgebiet oder die Durchreise durch sein Hoheitsgebiet nach Absatz 3, 4, 6, 7 oder 8 genehmigt, gilt die Genehmigung nur für den Zweck, für den sie erteilt wurde, und für die davon unmittelbar betroffenen Personen. Artikel 5 (1) Sämtliche Gelder und wirtschaftlichen Ressourcen im Besitz, im Eigentum, in der Verfügungsgewalt oder unter der Kontrolle von a) natürlichen oder juristischen Personen, Organisationen oder Einrichtungen, die für Cyberangriffe oder versuchte Cyberangriffe verantwortlich sind, b) natürlichen oder juristischen Personen, Organisationen oder Einrichtungen, die finanzielle, technische oder materielle Unterstützung für Cyberangriffe oder versuchte Cyberangriffe leisten oder auf andere Weise, einschließlich durch Planung, Vorbereitung, Mitwirkung, Steuerung, Unterstützung oder Ermutigung, daran beteiligt sind oder sie durch Handlung oder Unterlassung erleichtern, c) natürlichen oder juristischen Personen, Organisationen oder Einrichtungen, die mit den unter den Buchstaben a und b genannten natürlichen oder juristischen Personen, Organisationen oder Einrichtungen in Verbindung stehen, wie im Anhang aufgeführt, werden eingefroren. (2) Den im Anhang aufgeführten natürlichen oder juristischen Personen, Organisationen oder Einrichtungen dürfen weder unmittelbar noch mittelbar Gelder oder wirtschaftliche Ressourcen zur Verfügung gestellt werden oder zugutekommen. (3) Abweichend von den Absätzen 1 und 2 können die zuständigen Behörde der Mitgliedstaaten die Freigabe bestimmter eingefrorener Gelder oder wirtschaftlicher Ressourcen oder die Zurverfügungstellung bestimmter Gelder oder wirtschaftlicher Ressourcen unter ihnen angemessen erscheinenden Bedingungen genehmigen, nachdem festgestellt wurde, dass die betreffenden Gelder oder wirtschaftlichen Ressourcen a) ►C1 zur Befriedigung der Grundbedürfnisse der im Anhang genannten natürlichen oder juristischen Personen, Organisationen oder Einrichtungen, und ◄ der unterhaltsberechtigten Familienangehörigen jener natürlichen Personen, unter anderem für die Bezahlung von Nahrungsmitteln, Mieten oder Hypotheken, Medikamenten und medizinischer Behandlung, Steuern, Versicherungsprämien und Gebühren öffentlicher Versorgungseinrichtungen, erforderlich sind; b) ausschließlich der Bezahlung angemessener Honorare oder der Rückerstattung von Ausgaben im Zusammenhang mit der Bereitstellung rechtlicher Dienste dienen; c) ausschließlich der Bezahlung von Gebühren oder Kosten für die routinemäßige Verwahrung oder Verwaltung eingefrorener Gelder oder wirtschaftlicher Ressourcen dienen; d) für die Deckung außerordentlicher Ausgaben erforderlich sind, vorausgesetzt, dass die relevante zuständige Behörde den zuständigen Behörden der anderen Mitgliedstaaten und der Kommission mindestens zwei Wochen vor Erteilung der Genehmigung mitgeteilt hat, aus welchen Gründen sie der Auffassung ist, dass eine spezifische Genehmigung erteilt werden sollte; oder e) auf Konten oder von Konten einer diplomatischen Vertretung oder einer Konsularstelle oder einer internationalen Organisation überwiesen werden sollen, die Immunität nach dem Völkerrecht genießt, sofern diese Zahlungen für amtliche Zwecke dieser diplomatischen Vertretung oder Konsularstelle oder internationalen Organisation bestimmt sind. Der betreffende Mitgliedstaat unterrichtet die anderen Mitgliedstaaten und die Kommission über jede nach diesem Absatz erteilte Genehmigung. (4) Abweichend von Absatz 1 können die zuständigen Behörden der Mitgliedstaaten die Freigabe bestimmter eingefrorener Gelder oder wirtschaftlicher Ressourcen genehmigen, wenn die nachstehenden Voraussetzungen erfüllt sind: a) Die Gelder oder wirtschaftlichen Ressourcen sind Gegenstand einer schiedsgerichtlichen Entscheidung, die vor dem Datum ergangen ist, an dem die in Absatz 1 genannte natürliche oder juristische Person, Organisation oder Einrichtung in den Anhang aufgenommen wurde, oder Gegenstand einer vor oder nach diesem Datum in der Union ergangenen gerichtlichen oder behördlichen Entscheidung oder einer in dem betreffenden Mitgliedstaat vollstreckbaren gerichtlichen Entscheidung; b) die Gelder oder wirtschaftlichen Ressourcen werden im Rahmen der anwendbaren Gesetze und sonstigen Rechtsvorschriften über die Rechte des Gläubigers ausschließlich zur Erfüllung der Forderungen verwendet, die durch eine solche Entscheidung gesichert sind oder deren Bestehen in einer solchen Entscheidung bestätigt worden ist; c) die Entscheidung begünstigt nicht eine im Anhang aufgeführte natürliche oder juristische Person, Organisation oder Einrichtung; und d) die Anerkennung der Entscheidung steht nicht im Widerspruch zur öffentlichen Ordnung des betreffenden Mitgliedstaats. Der betreffende Mitgliedstaat unterrichtet die anderen Mitgliedstaaten und die Kommission über jede nach diesem Absatz erteilte Genehmigung. (5) Absatz 1 hindert eine im Anhang aufgeführte natürliche oder juristische Person, Organisation oder Einrichtung nicht daran, Zahlungen aufgrund eines Vertrags zu leisten, der vor dem Zeitpunkt eingegangen wurde, zu dem diese natürliche oder juristische Person, Organisation oder Einrichtung in den Anhang aufgenommen wurde, sofern der jeweilige Mitgliedstaat festgestellt hat, dass die Zahlung weder unmittelbar noch mittelbar von einer natürlichen oder juristischen Person, Organisation oder Einrichtung im Sinne von Absatz 1 entgegengenommen wird. (6) Absatz 2 gilt nicht für die auf eingefrorenen Konten eingehenden a) Zinsen und sonstigen Erträge dieser Konten, b) Zahlungen aufgrund von Verträgen, Vereinbarungen oder Verpflichtungen, die vor dem Zeitpunkt eingegangen wurden, ab dem diese Konten den Maßnahmen nach den Absätzen 1 und 2 unterliegen, oder c) Zahlungen aufgrund von in der Union ergangenen oder in dem betreffenden Mitgliedstaat vollstreckbaren gerichtlichen, behördlichen oder schiedsgerichtlichen Entscheidungen, sofern solche Zinsen, sonstigen Erträge und Zahlungen weiterhin den Maßnahmen nach Absatz 1 unterliegen. ▼M8 (7) Die Absätze 1 und 2 finden keine Anwendung auf die Bereitstellung von Geldern oder wirtschaftlichen Ressourcen, die notwendig sind, um die rasche Bereitstellung humanitärer Hilfe zu gewährleisten oder andere Tätigkeiten zur Deckung grundlegender menschlicher Bedürfnisse zu unterstützen, wenn die Hilfe bzw. die anderen Tätigkeiten durchgeführt werden von a) den Vereinten Nationen (VN), einschließlich ihrer Programme, Gelder und sonstigen Einrichtungen und Stellen, sowie ihren Sonderorganisationen und verwandten Organisationen, b) internationalen Organisationen, c) humanitäre Hilfe leistenden Organisationen mit Beobachterstatus in der Generalversammlung der VN und Mitgliedern dieser Organisationen, d) bilateral oder multilateral finanzierten nichtstaatlichen Organisationen, die sich an den Plänen der VN für humanitäre Maßnahmen, den Plänen der VN für Flüchtlingshilfemaßnahmen oder anderen Appellen der VN oder an vom Amt der VN für die Koordinierung humanitärer Angelegenheiten koordinierten humanitären „Clustern“ beteiligen, e) Organisationen und Agenturen, denen die Union das Zertifikat für humanitäre Partnerschaft erteilt hat oder die von einem Mitgliedstaat als Partner für humanitäre Hilfe nach nationalen Verfahren zertifiziert oder anerkannt sind, f) spezialisierten Agenturen der Mitgliedstaaten oder g) den Beschäftigten, Zuschussempfängern, Tochtergesellschaften oder Durchführungspartnern der unter den Buchstaben a bis f genannten Einrichtungen, während und soweit sie in dieser Eigenschaft tätig sind. (8) Unbeschadet des Absatzes 7 können die zuständigen Behörden der Mitgliedstaaten abweichend von den Absätzen 1 und 2 unter ihnen geeignet erscheinenden Bedingungen die Freigabe bestimmter eingefrorener Gelder oder wirtschaftlicher Ressourcen oder die Bereitstellung bestimmter Gelder oder wirtschaftlicher Ressourcen genehmigen, nachdem sie festgestellt haben, dass die Zurverfügungstellung dieser Gelder oder wirtschaftlichen Ressourcen notwendig ist, um die rasche Bereitstellung humanitärer Hilfe zu gewährleisten oder andere Tätigkeiten zur Deckung grundlegender menschlicher Bedürfnisse zu unterstützen. (9) Ergeht innerhalb von fünf Arbeitstagen nach Eingang des Genehmigungsantrags nach Absatz 8 keine ablehnende Entscheidung, kein Auskunftsersuchen oder keine Mitteilung über eine Fristverlängerung der einschlägigen zuständigen Behörde, so gilt die Genehmigung als erteilt. (10) Der betreffende Mitgliedstaat unterrichtet die anderen Mitgliedstaaten und die Kommission über nach den Absätzen 8 und 9 erteilte Genehmigungen innerhalb von vier Wochen nach einer solchen Erteilung. ▼B Artikel 6 (1) Auf Vorschlag eines Mitgliedstaats oder des Hohen Vertreters der Union für Außen- und Sicherheitspolitik erstellt und ändert der Rat einstimmig die im Anhang enthaltene Liste. (2)