EPSO Sicherheit: das Cyber-Regelwerk hinter den Fragen

Ein Fachgebiet, das fünf Rechtsakte zusammenhalten

Es gibt kein EPSO-Auswahlverfahren, das der Sicherheit gewidmet ist. Was es gibt und fortlaufend geöffnet bleibt, ist CAST Permanent — mit Profilen für Sicherheitsbetrieb, Sicherheitsbetrieb einschließlich regionaler Sicherheit, technische Sicherheit, Informations- und Dokumentensicherheit sowie IT-Sicherheit. Sicherheitsinhalte tauchen außerdem in den fachbezogenen Tests der Bereiche IT und Recht auf.

Der Stoff hat zwei Hälften. Die eine ist institutionell: Europol, Eurojust, Frontex, das EU INTCEN, der Raum der Freiheit, der Sicherheit und des Rechts sowie der Unterschied zwischen zivilen GSVP-Missionen und Militäroperationen. Die andere ist gesetzgeberisch: der Bestand an EU-Recht, der heute Cybersicherheit und Resilienz regelt.

Dieser Leitfaden behandelt die zweite Hälfte in der Tiefe, weil dort die präzisen Bestimmungen leben — in Stunden gemessene Fristen, definierte Kategorien und Rechtsakte, die sich bewusst überschneiden. Die institutionelle Hälfte wird ebenfalls geprüft; ihre amtlichen Quellen stehen am Ende.

Fünf Rechtsakte leisten die meiste Arbeit:

Wie fachbezogene Tests in den Fachverfahren aufgebaut sind, erklärt unser Leitfaden zum FRMCQ der EPSO-Fachauswahlverfahren. Der IT-Bereich überschneidet sich stark — unser Leitfaden für IT-Fachleute behandelt den digitalen Rechtsrahmen von der anderen Seite.

Das Format

30 Fragen in 40 Minuten, 15 richtige zum Bestehen. Im aktuellen EPSO-Modell ist der fachbezogene Test das Ranginstrument; die Denkfähigkeitstests sind Bestanden-oder-nicht-Hürden, die nicht in die Endnote einfließen.

NIS2 — Richtlinie (EU) 2022/2555

Erlassen am 14. Dezember 2022, veröffentlicht im ABl. L 333 vom 27. Dezember 2022.

Wer erfasst ist

Die Erfassung ergibt sich aus mehreren Wegen, und Fragen prüfen, ob Sie wissen, dass es mehr als einen gibt:

• Einrichtungen eines in Anhang I oder Anhang II genannten Typs, die die Kriterien erfüllen;
• andere Einrichtungen dieser Typen, die ein Mitgliedstaat nach den Identifizierungsvorschriften als wesentliche Einrichtungen bestimmt hat;
• Einrichtungen, die nach der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden;
• sofern der Mitgliedstaat dies vorsieht, Einrichtungen, die er vor dem 16. Januar 2023 nach der Richtlinie (EU) 2016/1148 oder nationalem Recht als Betreiber wesentlicher Dienste bestimmt hatte.

Dieser letzte Weg ist eine Übergangsbrücke von der ersten NIS-Richtlinie, und das Datum ist konkret genug, um für sich genommen eine Frage zu sein.

Die zwei Fristen

Erlangen wesentliche oder wichtige Einrichtungen Kenntnis von einem erheblichen Sicherheitsvorfall, so übermitteln sie dem CSIRT oder gegebenenfalls der zuständigen Behörde:

• binnen 24 Stunden nach Kenntniserlangung eine Frühwarnung, in der gegebenenfalls anzugeben ist, ob der Vorfall im Verdacht steht, auf rechtswidrige oder böswillige Handlungen zurückzugehen, oder grenzüberschreitende Auswirkungen haben könnte;
• binnen 72 Stunden nach Kenntniserlangung eine Vorfallsmeldung, die die Frühwarnung aktualisiert und eine erste Bewertung des Vorfalls enthält.

Beide sind qualifiziert durch „unverzüglich und in jedem Fall innerhalb von“. Der 24-Stunden-Schritt ist eine Warnung, kein Bericht — sein Inhalt ist bewusst schlank, denn seine Aufgabe ist Geschwindigkeit. Beides zu vermengen ist der Standardfehler.

Besteht der Verdacht, dass ein Vorfall mit schwerer Kriminalität zusammenhängt, sollten die Mitgliedstaaten die Einrichtungen ermutigen, ihn den zuständigen Strafverfolgungsbehörden zu melden, auf Grundlage der geltenden strafprozessualen Vorschriften und unbeschadet der Vorschriften zum Schutz personenbezogener Daten.

EU-CyCLONe

Das europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen setzt sich zusammen aus Vertretern der Cyberkrisenmanagementbehörden der Mitgliedstaaten sowie — in Fällen, in denen ein potenzieller oder laufender groß angelegter Cybersicherheitsvorfall erhebliche Auswirkungen auf Dienste und Tätigkeiten im Anwendungsbereich der Richtlinie hat oder haben dürfte — aus der Kommission. In den übrigen Fällen nimmt die Kommission als Beobachterin teil.

Die ENISA nimmt das Sekretariat von EU-CyCLONe wahr, unterstützt den sicheren Informationsaustausch und stellt die erforderlichen Kooperationswerkzeuge bereit.

Vollwertige Teilnehmerin, wenn es groß ist, Beobachterin, wenn nicht. Diese Bedingung ist genau die Art von Detail, die einen vorbereiteten Bewerber von einem gut belesenen unterscheidet.

Die Informationsaufgaben der ENISA

Die ENISA richtet eine europäische Schwachstellendatenbank ein, in der Einrichtungen — unabhängig davon, ob sie in den Anwendungsbereich der Richtlinie fallen — und ihre Lieferanten öffentlich bekannte Schwachstellen registrieren können. Zutreffende und rechtzeitige Schwachstelleninformationen dienen Einrichtungen, Nutzern ihrer Dienste, zuständigen Behörden und CSIRTs gleichermaßen.

Die ENISA nimmt zudem in Zusammenarbeit mit der Kooperationsgruppe einen Bericht über den Stand der Cybersicherheit in der Union an, der eine Bewertung des allgemeinen Niveaus des Cybersicherheitsbewusstseins und der Cyberhygiene bei Bürgerinnen und Bürgern sowie Einrichtungen einschließlich KMU enthält; eine aggregierte Bewertung der Ergebnisse der Peer Reviews; und eine aggregierte Bewertung des Reifegrads der Cybersicherheitskapazitäten und -ressourcen in der Union, auch auf Sektorebene, sowie des Ausmaßes, in dem die nationalen Cybersicherheitsstrategien aufeinander abgestimmt sind. Der Bericht enthält konkrete politische Empfehlungen.

Drittländer

Die Union kann gegebenenfalls internationale Übereinkünfte nach Artikel 218 AEUV mit Drittländern oder internationalen Organisationen schließen, die deren Beteiligung an bestimmten Tätigkeiten der Kooperationsgruppe, des CSIRTs-Netzwerks und von EU-CyCLONe ermöglichen und regeln. Solche Übereinkünfte müssen mit dem Datenschutzrecht der Union im Einklang stehen.

Normen

Zur Förderung einer konvergenten Umsetzung der Risikomanagementmaßnahmen fördern die Mitgliedstaaten die Anwendung europäischer und internationaler Normen — ohne die Nutzung einer bestimmten Technologieart vorzuschreiben oder zu bevorzugen. Technologieneutralität ist in die Förderung selbst eingeschrieben.

Steht kein geeignetes europäisches Schema für die Cybersicherheitszertifizierung für die Zwecke der einschlägigen Bestimmung zur Verfügung, so kann die Kommission — nach Anhörung der Kooperationsgruppe und der Europäischen Gruppe für die Cybersicherheitszertifizierung — die ENISA ersuchen, ein Kandidatenschema nach Artikel 48 Absatz 2 der Verordnung (EU) 2019/881 auszuarbeiten.

Der Rechtsakt zur Cybersicherheit — Verordnung (EU) 2019/881

Vom 17. April 2019, über die ENISA und die Cybersicherheitszertifizierung von IKT, zur Aufhebung der Verordnung (EU) Nr. 526/2013, veröffentlicht im ABl. L 151 vom 7. Juni 2019.

Sie schafft einen freiwilligen europäischen Rahmen für die Cybersicherheitszertifizierung von IKT-Produkten, IKT-Prozessen und IKT-Diensten. Europäische Schemata bieten Nutzern einen gemeinsamen Vertrauensrahmen.

Freiwillig ist das zu unterstreichende Wort. Ein erheblicher Teil des Prüfungswerts liegt darin, der Annahme zu widerstehen, ein europäischer Zertifizierungsrahmen müsse zwingend sein. Was der Rahmen leistet, sind Vermutungen und gemeinsame Kriterien — keine Zertifizierungspflicht.

Nationale Behörden für die Cybersicherheitszertifizierung werden nach Artikel 58 benannt. Kandidatenschemata erarbeitet die ENISA nach Artikel 48 Absatz 2 auf Ersuchen der Kommission.

Die Cyberresilienzverordnung — Produkte mit digitalen Elementen

Die Cyberresilienzverordnung baut unmittelbar auf dem Rechtsakt zur Cybersicherheit auf, und dieses Ineinandergreifen ist prüfungsrelevant.

Produkte mit digitalen Elementen und vom Hersteller eingerichtete Prozesse, für die eine EU-Konformitätserklärung oder ein Zertifikat im Rahmen eines nach der Verordnung (EU) 2019/881 angenommenen europäischen Schemas für die Cybersicherheitszertifizierung ausgestellt wurde, gelten als konform mit den grundlegenden Cybersicherheitsanforderungen des Anhangs I — insoweit, als diese Erklärung oder dieses Zertifikat, oder Teile davon, jene Anforderungen abdecken.

Eine Vermutung, und eine teilweise. Zertifizierung erfüllt die Pflicht nicht pauschal; sie erfüllt sie im Umfang des tatsächlich Zertifizierten.

Marktüberwachungsbehörden arbeiten mit den nach Artikel 58 der Verordnung (EU) 2019/881 benannten nationalen Cybersicherheitszertifizierungsbehörden zusammen und tauschen regelmäßig Informationen aus. Für die Überwachung der Meldepflichten arbeiten sie mit den als Koordinatoren benannten CSIRTs und mit der ENISA zusammen und können ein benanntes CSIRT um Unterstützung ersuchen.

Die Rolle der ENISA ist hier aktiv: Sie kann gemeinsame Aktivitäten der Marktüberwachungsbehörden vorschlagen, gestützt auf Hinweise auf mögliche Nichtkonformität in mehreren Mitgliedstaaten, oder Produktkategorien benennen, für die Sweeps organisiert werden sollten. In Ausnahmefällen kann die ENISA auf Ersuchen der Kommission Bewertungen in Bezug auf bestimmte Produkte durchführen.

Beim Aufbau der einheitlichen Meldeplattform sollte die ENISA andere Organe oder Agenturen der Union konsultieren, die Plattformen oder Datenbanken mit strengen Sicherheitsanforderungen betreiben — eu-LISA, die Agentur für IT-Großsysteme im Raum der Freiheit, der Sicherheit und des Rechts, wird namentlich genannt — und Komplementaritäten mit der europäischen Schwachstellendatenbank prüfen.

CER — Richtlinie (EU) 2022/2557

Vom 14. Dezember 2022, über die Resilienz kritischer Einrichtungen, zur Aufhebung der Richtlinie 2008/114/EG des Rates.

Prüfungsrelevant ist das Verhältnis zu NIS2. Üben die nach NIS2 zuständigen Behörden ihre Aufsichts- und Durchsetzungsbefugnisse aus, um die Einhaltung durch eine nach CER als kritisch eingestufte Einrichtung sicherzustellen, so unterrichten sie die einschlägigen CER-Behörden desselben Mitgliedstaats. Gegebenenfalls können die CER-Behörden die NIS2-Behörden ersuchen, ihre Aufsichts- und Durchsetzungsbefugnisse gegenüber einer solchen Einrichtung auszuüben.

Zur Straffung der Aufsicht und zur Minimierung des Verwaltungsaufwands sollten beide Behördengruppen bestrebt sein, Vorlagen für Vorfallsmeldungen und Aufsichtsverfahren zu harmonisieren.

Die Arbeitsteilung: NIS2 regelt die Cyberresilienz, CER die physische Resilienz, und eine Einrichtung kann beides sein. Die Richtlinien sind so gebaut, dass sie einander Arbeit zuweisen, statt sie zu verdoppeln.

DORA — Finanzunternehmen

DORA behandelt die digitale operationale Resilienz von Finanzunternehmen, und ihr Kennzeichen ist der Überwachungsrahmen für IKT-Drittdienstleister.

Anwendungsbereich. Der Überwachungsrahmen gilt nur für kritische IKT-Drittdienstleister. Ein Benennungsmechanismus berücksichtigt Umfang und Art der Abhängigkeit des Finanzsektors von solchen Anbietern anhand quantitativer und qualitativer Kriterien, die die Kritikalitätsparameter festlegen — bewertet unabhängig von der Unternehmensstruktur des Anbieters.

Der federführende Überwacher. Der Rahmen beruht auf der Zusammenarbeit zwischen dem federführenden Überwacher und dem kritischen Anbieter sowie auf der Fähigkeit des federführenden Überwachers, Überwachungsmissionen und Inspektionen durchzuführen, die die eingesetzten Regeln, Kontrollen und Prozesse sowie die mögliche kumulative Wirkung der Tätigkeiten des Anbieters bewerten.

Was er nicht tut. Der Rahmen ersetzt die eigene Pflicht der Finanzunternehmen nicht, die Risiken aus der Nutzung von IKT-Drittdienstleistern zu steuern, einschließlich der laufenden Überwachung der vertraglichen Vereinbarungen mit kritischen Anbietern. Er berührt auch nicht ihre volle Verantwortung für die Einhaltung ihrer eigenen rechtlichen Pflichten. Und er gilt unbeschadet der Zuständigkeit der Mitgliedstaaten, Anbieter zu beaufsichtigen, die nicht als kritisch benannt, aber national als wichtig angesehen werden.

Koordinierung. Der Gemeinsame Ausschuss der ESA sorgt weiterhin für die sektorübergreifende Gesamtkoordinierung in allen Fragen des IKT-Risikos.

Konsolidierung. DORA konsolidiert zusammen mit der Richtlinie (EU) 2022/2556 die Vorschriften zum IKT-Risikomanagement im Besitzstand der Finanzdienstleistungen und ändert die Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011, um die geltenden Regeln klarzustellen.

Physische Resilienz. Da die physische Resilienz von Finanzunternehmen durch die IKT-Risikomanagement- und Meldepflichten von DORA umfassend behandelt wird, werden die Pflichten der Kapitel III und IV der CER-Richtlinie kohärent damit gehandhabt statt zusätzlich aufgesetzt.

Fünf Stellen, an denen Punkte verloren gehen

24 gegen 72. Frühwarnung in 24 Stunden, Vorfallsmeldung in 72. Beide „unverzüglich und in jedem Fall innerhalb von“. Verschiedene Dokumente, verschiedene Zwecke.

Freiwillige Zertifizierung. Der europäische Rahmen für die Cybersicherheitszertifizierung ist freiwillig. Zertifizierung begründet Konformitätsvermutungen, und nur im Umfang des Abgedeckten.

Vollwertige Teilnehmerin gegen Beobachterin. Die Kommission sitzt in EU-CyCLONe nur bei groß angelegten Vorfällen mit erheblichen Auswirkungen als Vollmitglied; sonst als Beobachterin. Die ENISA ist das Sekretariat, keine mitgliedstaatliche Behörde.

Welcher Rechtsakt gilt. Netz- und Informationssysteme, physische Resilienz kritischer Einrichtungen, Produkte mit digitalen Elementen, Finanzunternehmen. Vier Rechtsakte, vier Anwendungsbereiche, gewollte Überschneidungen und Pflichten zur wechselseitigen Verweisung statt Verdopplung.

Überwachung überträgt keine Verantwortung. Einen Anbieter als kritisch zu benennen und zu überwachen entbindet das Finanzunternehmen nicht davon, dieses Risiko selbst zu steuern. Die Verordnung sagt das ausdrücklich, und eine Frage kann vollständig darauf gebaut sein, dass Bewerber das Gegenteil annehmen.

Wie man dieses Fachgebiet lernt

Lesen Sie NIS2 zuerst — die Definitionen, die Anwendungsbereichsvorschriften, die Risikomanagementmaßnahmen und den Meldeartikel. Sie ist der Ankerrechtsakt, und die drei anderen Cybertexte definieren sich an ihr.

Lesen Sie danach die Verzahnungsvorschriften statt CER, Cyberresilienzverordnung und DORA vollständig. Der prüfungsrelevante Inhalt liegt dort, wo sie sich berühren: Konformitätsvermutung, wechselseitige Unterrichtung zuständiger Behörden, Grenze des Überwachungsrahmens.

Behandeln Sie die institutionelle Hälfte danach getrennt — die Gründungsverordnungen von Europol, Eurojust und der Europäischen Agentur für die Grenz- und Küstenwache sowie das EAD-Material zu zivilen GSVP-Missionen und Militäroperationen. Diese Hälfte wird hier nicht behandelt und dennoch geprüft.

Und dann üben Sie unter Zeitdruck. Achtzig Sekunden pro Frage verwandeln fünf Rechtsakte in Punkte. Den Sicherheitsblock können Sie auf EU-now in kurzen Einheiten trainieren und EUgenio fragen, wenn zwei Rechtsakte dasselbe zu sagen scheinen — er antwortet aus denselben amtlichen Texten, die hier zitiert sind, und sagt, wenn er keine Quelle hat, statt eine zu erfinden.

Quellen und Fundstellen

Alle Zitate dieses Artikels stammen aus amtlichen EU-Quellen:

• Richtlinie (EU) 2022/2555 — NIS2 (ABl. L 333, 27.12.2022)
• Richtlinie (EU) 2022/2557 — Resilienz kritischer Einrichtungen
• Verordnung (EU) 2019/881 — Rechtsakt zur Cybersicherheit (ABl. L 151, 7.6.2019)
• Verordnung (EU) 2022/2554 — DORA
• ENISA — Agentur der Europäischen Union für Cybersicherheit
• Europol
• EAD — Sicherheit und Verteidigung

Wo dieser Artikel beschreibt, was eine Frage wahrscheinlich prüft, ist das unsere redaktionelle Einschätzung auf Grundlage des Formats veröffentlichter fachbezogener Tests — kein Text aus einer Ausschreibung. Die Bestimmungen, Fristen und Definitionen sind aus den oben aufgeführten Rechtsakten zitiert.