# EPSO Sicherheit: das Cyber-Regelwerk hinter den Fragen URL: https://eu-now.com/de/blog/epso-security-specialist-competitions-guide Published: 2026-08-21 · Updated: 2026-08-27 Category: Specialist Competitions Tags: EPSO, Sicherheit, Cybersicherheit, NIS2, ENISA, Cyberresilienz, DORA, kritische Einrichtungen, AD7, AST NIS2, Cyberresilienzverordnung, Rechtsakt zur Cybersicherheit, CER-Richtlinie und DORA — die Fristen, Definitionen und Überschneidungen, aus denen EU-Sicherheitsfragen gebaut sind. ## Key takeaways - CAST Permanent deckt Sicherheitsbetrieb, technische Sicherheit, Informations- und Dokumentensicherheit sowie IT-Sicherheit fortlaufend ab, und Sicherheitsinhalte werden zudem in den fachbezogenen Tests der Bereiche IT und Recht geprüft - Zwei Fristen tragen einen überproportionalen Anteil der NIS2-Fragen: eine Frühwarnung binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls und eine Vorfallsmeldung binnen 72 Stunden - Der europäische Rahmen für die Cybersicherheitszertifizierung nach der Verordnung (EU) 2019/881 ist freiwillig. Wer ihn für verpflichtend hält, verliert eine ganze Fragenfamilie - Vier Rechtsakte überschneiden sich absichtlich — NIS2 für Netz- und Informationssysteme, CER für die physische Resilienz kritischer Einrichtungen, die Cyberresilienzverordnung für Produkte mit digitalen Elementen, DORA für Finanzunternehmen. Prüfungsrelevant ist, welcher gilt und wie sie ineinandergreifen - In EU-CyCLONe ist die Kommission nur dann vollwertige Teilnehmerin, wenn ein groß angelegter Vorfall erhebliche Auswirkungen hat oder haben dürfte; sonst nimmt sie als Beobachterin teil. Die ENISA nimmt das Sekretariat wahr ## Ein Fachgebiet, das fünf Rechtsakte zusammenhalten Sicherheit erreicht die Institutionen über mehrere Wege. Fortlaufend geöffnet bleibt CAST Permanent — mit Profilen für Sicherheitsbetrieb, Sicherheitsbetrieb einschließlich regionaler Sicherheit, technische Sicherheit, Informations- und Dokumentensicherheit sowie IT-Sicherheit. Sicherheitsinhalte tauchen außerdem in den fachbezogenen Tests der Bereiche IT und Recht auf. Der Stoff hat zwei Hälften. Die eine ist institutionell: Europol, Eurojust, Frontex, das EU INTCEN, der Raum der Freiheit, der Sicherheit und des Rechts sowie der Unterschied zwischen zivilen GSVP-Missionen und Militäroperationen. Die andere ist gesetzgeberisch: der Bestand an EU-Recht, der heute Cybersicherheit und Resilienz regelt. Dieser Leitfaden behandelt die zweite Hälfte in der Tiefe, weil dort die präzisen Bestimmungen leben — in Stunden gemessene Fristen, definierte Kategorien und Rechtsakte, die sich bewusst überschneiden. Die institutionelle Hälfte wird ebenfalls geprüft; ihre amtlichen Quellen stehen am Ende. Fünf Rechtsakte leisten die meiste Arbeit: | Rechtsakt | Was er regelt | | --- | --- | | **Richtlinie (EU) 2022/2555 (NIS2)** | Cybersicherheit von Netz- und Informationssystemen, wesentliche und wichtige Einrichtungen | | **Richtlinie (EU) 2022/2557 (CER)** | Resilienz kritischer Einrichtungen; hob die Richtlinie 2008/114/EG des Rates auf | | **Verordnung (EU) 2019/881 (Rechtsakt zur Cybersicherheit)** | Mandat der ENISA und Cybersicherheitszertifizierung für IKT; hob die Verordnung (EU) Nr. 526/2013 auf | | **Cyberresilienzverordnung** | Cybersicherheitsanforderungen für Produkte mit digitalen Elementen | | **DORA** | digitale operationale Resilienz von Finanzunternehmen und Überwachung kritischer IKT-Drittdienstleister | Wie fachbezogene Tests in den Fachverfahren aufgebaut sind, erklärt unser [Leitfaden zum FRMCQ der EPSO-Fachauswahlverfahren](/blog/epso-specialist-competitions-frmcq-guide). Der IT-Bereich überschneidet sich stark — unser [Leitfaden für IT-Fachleute](/blog/epso-it-specialist-competitions-guide) behandelt den digitalen Rechtsrahmen von der anderen Seite. ### Das Format 30 Fragen in 40 Minuten, 15 richtige zum Bestehen. Im aktuellen EPSO-Modell ist der fachbezogene Test das Ranginstrument; die Denkfähigkeitstests sind Bestanden-oder-nicht-Hürden, die nicht in die Endnote einfließen. ## NIS2 — Richtlinie (EU) 2022/2555 Erlassen am **14. Dezember 2022**, veröffentlicht im **ABl. L 333 vom 27. Dezember 2022**. ### Wer erfasst ist Die Erfassung ergibt sich aus mehreren Wegen, und Fragen prüfen, ob Sie wissen, dass es mehr als einen gibt: - Einrichtungen eines in **Anhang I oder Anhang II** genannten Typs, die die Kriterien erfüllen; - andere Einrichtungen dieser Typen, die ein **Mitgliedstaat** nach den Identifizierungsvorschriften **als wesentliche Einrichtungen bestimmt** hat; - Einrichtungen, die nach der **Richtlinie (EU) 2022/2557 als kritische Einrichtungen** eingestuft wurden; - sofern der Mitgliedstaat dies vorsieht, Einrichtungen, die er **vor dem 16. Januar 2023** nach der **Richtlinie (EU) 2016/1148** oder nationalem Recht als Betreiber wesentlicher Dienste bestimmt hatte. Dieser letzte Weg ist eine Übergangsbrücke von der ersten NIS-Richtlinie, und das Datum ist konkret genug, um für sich genommen eine Frage zu sein. ### Die zwei Fristen Erlangen wesentliche oder wichtige Einrichtungen Kenntnis von einem **erheblichen Sicherheitsvorfall**, so übermitteln sie dem CSIRT oder gegebenenfalls der zuständigen Behörde: - **binnen 24 Stunden** nach Kenntniserlangung eine **Frühwarnung**, in der gegebenenfalls anzugeben ist, ob der Vorfall im **Verdacht steht, auf rechtswidrige oder böswillige Handlungen zurückzugehen**, oder **grenzüberschreitende Auswirkungen haben könnte**; - **binnen 72 Stunden** nach Kenntniserlangung eine **Vorfallsmeldung**, die die Frühwarnung aktualisiert und eine **erste Bewertung** des Vorfalls enthält. Beide sind qualifiziert durch „unverzüglich und in jedem Fall innerhalb von“. Der 24-Stunden-Schritt ist eine Warnung, kein Bericht — sein Inhalt ist bewusst schlank, denn seine Aufgabe ist Geschwindigkeit. Beides zu vermengen ist der Standardfehler. Besteht der Verdacht, dass ein Vorfall mit **schwerer Kriminalität** zusammenhängt, sollten die Mitgliedstaaten die Einrichtungen ermutigen, ihn den **zuständigen Strafverfolgungsbehörden** zu melden, auf Grundlage der geltenden strafprozessualen Vorschriften und unbeschadet der Vorschriften zum Schutz personenbezogener Daten. ### EU-CyCLONe Das europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen setzt sich zusammen aus **Vertretern der Cyberkrisenmanagementbehörden der Mitgliedstaaten** sowie — in Fällen, in denen ein potenzieller oder laufender **groß angelegter Cybersicherheitsvorfall erhebliche Auswirkungen** auf Dienste und Tätigkeiten im Anwendungsbereich der Richtlinie **hat oder haben dürfte** — aus der **Kommission**. In den übrigen Fällen nimmt die **Kommission als Beobachterin** teil. Die **ENISA nimmt das Sekretariat** von EU-CyCLONe wahr, unterstützt den sicheren Informationsaustausch und stellt die erforderlichen Kooperationswerkzeuge bereit. Vollwertige Teilnehmerin, wenn es groß ist, Beobachterin, wenn nicht. Diese Bedingung ist genau die Art von Detail, die einen vorbereiteten Bewerber von einem gut belesenen unterscheidet. ### Die Informationsaufgaben der ENISA Die **ENISA richtet eine europäische Schwachstellendatenbank ein**, in der Einrichtungen — **unabhängig davon, ob sie in den Anwendungsbereich der Richtlinie fallen** — und ihre Lieferanten öffentlich bekannte Schwachstellen registrieren können. Zutreffende und rechtzeitige Schwachstelleninformationen dienen Einrichtungen, Nutzern ihrer Dienste, zuständigen Behörden und CSIRTs gleichermaßen. Die ENISA nimmt zudem in Zusammenarbeit mit der Kooperationsgruppe einen **Bericht über den Stand der Cybersicherheit in der Union** an, der eine Bewertung des allgemeinen Niveaus des **Cybersicherheitsbewusstseins und der Cyberhygiene** bei Bürgerinnen und Bürgern sowie Einrichtungen einschließlich KMU enthält; eine **aggregierte Bewertung der Ergebnisse der Peer Reviews**; und eine aggregierte Bewertung des **Reifegrads der Cybersicherheitskapazitäten und -ressourcen** in der Union, auch auf Sektorebene, sowie des Ausmaßes, in dem die nationalen Cybersicherheitsstrategien aufeinander abgestimmt sind. Der Bericht enthält **konkrete politische Empfehlungen**. ### Drittländer Die Union kann gegebenenfalls **internationale Übereinkünfte nach Artikel 218 AEUV** mit Drittländern oder internationalen Organisationen schließen, die deren Beteiligung an bestimmten Tätigkeiten der **Kooperationsgruppe, des CSIRTs-Netzwerks und von EU-CyCLONe** ermöglichen und regeln. Solche Übereinkünfte **müssen mit dem Datenschutzrecht der Union im Einklang stehen**. ### Normen Zur Förderung einer konvergenten Umsetzung der Risikomanagementmaßnahmen **fördern die Mitgliedstaaten die Anwendung europäischer und internationaler Normen** — **ohne die Nutzung einer bestimmten Technologieart vorzuschreiben oder zu bevorzugen**. Technologieneutralität ist in die Förderung selbst eingeschrieben. Steht **kein geeignetes europäisches Schema für die Cybersicherheitszertifizierung** für die Zwecke der einschlägigen Bestimmung zur Verfügung, so kann die Kommission — nach Anhörung der **Kooperationsgruppe** und der **Europäischen Gruppe für die Cybersicherheitszertifizierung** — die ENISA ersuchen, ein **Kandidatenschema** nach **Artikel 48 Absatz 2 der Verordnung (EU) 2019/881** auszuarbeiten. ## Der Rechtsakt zur Cybersicherheit — Verordnung (EU) 2019/881 Vom **17. April 2019**, über die ENISA und die Cybersicherheitszertifizierung von IKT, zur Aufhebung der **Verordnung (EU) Nr. 526/2013**, veröffentlicht im **ABl. L 151 vom 7. Juni 2019**. Sie schafft einen **freiwilligen** europäischen Rahmen für die Cybersicherheitszertifizierung von **IKT-Produkten, IKT-Prozessen und IKT-Diensten**. Europäische Schemata bieten Nutzern einen gemeinsamen Vertrauensrahmen. **Freiwillig** ist das zu unterstreichende Wort. Ein erheblicher Teil des Prüfungswerts liegt darin, der Annahme zu widerstehen, ein europäischer Zertifizierungsrahmen müsse zwingend sein. Was der Rahmen leistet, sind Vermutungen und gemeinsame Kriterien — keine Zertifizierungspflicht. **Nationale Behörden für die Cybersicherheitszertifizierung** werden nach **Artikel 58** benannt. Kandidatenschemata erarbeitet die ENISA nach **Artikel 48 Absatz 2** auf Ersuchen der Kommission. ## Die Cyberresilienzverordnung — Produkte mit digitalen Elementen Die Cyberresilienzverordnung baut unmittelbar auf dem Rechtsakt zur Cybersicherheit auf, und dieses Ineinandergreifen ist prüfungsrelevant. Produkte mit digitalen Elementen und vom Hersteller eingerichtete Prozesse, **für die eine EU-Konformitätserklärung oder ein Zertifikat im Rahmen eines nach der Verordnung (EU) 2019/881 angenommenen europäischen Schemas für die Cybersicherheitszertifizierung ausgestellt wurde, gelten als konform** mit den grundlegenden Cybersicherheitsanforderungen des Anhangs I — **insoweit**, als diese Erklärung oder dieses Zertifikat, oder Teile davon, **jene Anforderungen abdecken**. Eine Vermutung, und eine teilweise. Zertifizierung erfüllt die Pflicht nicht pauschal; sie erfüllt sie im Umfang des tatsächlich Zertifizierten. **Marktüberwachungsbehörden** arbeiten mit den nach Artikel 58 der Verordnung (EU) 2019/881 benannten nationalen Cybersicherheitszertifizierungsbehörden zusammen und tauschen regelmäßig Informationen aus. Für die Überwachung der Meldepflichten arbeiten sie mit den **als Koordinatoren benannten CSIRTs** und mit der **ENISA** zusammen und können ein benanntes CSIRT um Unterstützung ersuchen. Die Rolle der ENISA ist hier aktiv: Sie kann **gemeinsame Aktivitäten** der Marktüberwachungsbehörden vorschlagen, gestützt auf Hinweise auf mögliche Nichtkonformität in mehreren Mitgliedstaaten, oder **Produktkategorien benennen, für die Sweeps organisiert werden sollten**. In **Ausnahmefällen** kann die ENISA auf Ersuchen der Kommission **Bewertungen** in Bezug auf bestimmte Produkte **durchführen**. Beim Aufbau der **einheitlichen Meldeplattform** sollte die ENISA andere Organe oder Agenturen der Union konsultieren, die Plattformen oder Datenbanken mit strengen Sicherheitsanforderungen betreiben — **eu-LISA**, die Agentur für IT-Großsysteme im Raum der Freiheit, der Sicherheit und des Rechts, wird namentlich genannt — und Komplementaritäten mit der europäischen Schwachstellendatenbank prüfen. ## CER — Richtlinie (EU) 2022/2557 Vom **14. Dezember 2022**, über die Resilienz kritischer Einrichtungen, zur **Aufhebung der Richtlinie 2008/114/EG des Rates**. Prüfungsrelevant ist das Verhältnis zu NIS2. Üben die nach NIS2 zuständigen Behörden ihre Aufsichts- und Durchsetzungsbefugnisse aus, um die Einhaltung durch eine **nach CER als kritisch eingestufte Einrichtung** sicherzustellen, so **unterrichten sie die einschlägigen CER-Behörden desselben Mitgliedstaats**. Gegebenenfalls können die **CER-Behörden die NIS2-Behörden ersuchen, ihre Aufsichts- und Durchsetzungsbefugnisse** gegenüber einer solchen Einrichtung auszuüben. Zur Straffung der Aufsicht und zur Minimierung des Verwaltungsaufwands sollten beide Behördengruppen **bestrebt sein, Vorlagen für Vorfallsmeldungen und Aufsichtsverfahren zu harmonisieren**. Die Arbeitsteilung: NIS2 regelt die Cyberresilienz, CER die physische Resilienz, und eine Einrichtung kann beides sein. Die Richtlinien sind so gebaut, dass sie einander Arbeit zuweisen, statt sie zu verdoppeln. ## DORA — Finanzunternehmen DORA behandelt die **digitale operationale Resilienz** von Finanzunternehmen, und ihr Kennzeichen ist der **Überwachungsrahmen** für IKT-Drittdienstleister. **Anwendungsbereich.** Der Überwachungsrahmen gilt **nur für kritische IKT-Drittdienstleister**. Ein **Benennungsmechanismus** berücksichtigt Umfang und Art der Abhängigkeit des Finanzsektors von solchen Anbietern anhand **quantitativer und qualitativer Kriterien**, die die Kritikalitätsparameter festlegen — bewertet unabhängig von der Unternehmensstruktur des Anbieters. **Der federführende Überwacher.** Der Rahmen beruht auf der Zusammenarbeit zwischen dem **federführenden Überwacher** und dem kritischen Anbieter sowie auf der Fähigkeit des federführenden Überwachers, **Überwachungsmissionen und Inspektionen** durchzuführen, die die eingesetzten Regeln, Kontrollen und Prozesse sowie die **mögliche kumulative Wirkung** der Tätigkeiten des Anbieters bewerten. **Was er nicht tut.** Der Rahmen **ersetzt die eigene Pflicht der Finanzunternehmen nicht**, die Risiken aus der Nutzung von IKT-Drittdienstleistern zu steuern, einschließlich der **laufenden Überwachung der vertraglichen Vereinbarungen** mit kritischen Anbietern. Er berührt auch nicht ihre volle Verantwortung für die Einhaltung ihrer eigenen rechtlichen Pflichten. Und er gilt **unbeschadet der Zuständigkeit der Mitgliedstaaten**, Anbieter zu beaufsichtigen, die nicht als kritisch benannt, aber national als wichtig angesehen werden. **Koordinierung.** Der **Gemeinsame Ausschuss der ESA** sorgt weiterhin für die sektorübergreifende Gesamtkoordinierung in allen Fragen des IKT-Risikos. **Konsolidierung.** DORA konsolidiert zusammen mit der **Richtlinie (EU) 2022/2556** die Vorschriften zum IKT-Risikomanagement im Besitzstand der Finanzdienstleistungen und ändert die Verordnungen **(EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014** und **(EU) 2016/1011**, um die geltenden Regeln klarzustellen. **Physische Resilienz.** Da die physische Resilienz von Finanzunternehmen durch die IKT-Risikomanagement- und Meldepflichten von DORA umfassend behandelt wird, werden die Pflichten der Kapitel III und IV der CER-Richtlinie kohärent damit gehandhabt statt zusätzlich aufgesetzt. ## Fünf Stellen, an denen Punkte verloren gehen **24 gegen 72.** Frühwarnung in 24 Stunden, Vorfallsmeldung in 72. Beide „unverzüglich und in jedem Fall innerhalb von“. Verschiedene Dokumente, verschiedene Zwecke. **Freiwillige Zertifizierung.** Der europäische Rahmen für die Cybersicherheitszertifizierung ist freiwillig. Zertifizierung begründet Konformitätsvermutungen, und nur im Umfang des Abgedeckten. **Vollwertige Teilnehmerin gegen Beobachterin.** Die Kommission sitzt in EU-CyCLONe nur bei groß angelegten Vorfällen mit erheblichen Auswirkungen als Vollmitglied; sonst als Beobachterin. Die ENISA ist das Sekretariat, keine mitgliedstaatliche Behörde. **Welcher Rechtsakt gilt.** Netz- und Informationssysteme, physische Resilienz kritischer Einrichtungen, Produkte mit digitalen Elementen, Finanzunternehmen. Vier Rechtsakte, vier Anwendungsbereiche, gewollte Überschneidungen und Pflichten zur wechselseitigen Verweisung statt Verdopplung. **Überwachung überträgt keine Verantwortung.** Einen Anbieter als kritisch zu benennen und zu überwachen entbindet das Finanzunternehmen nicht davon, dieses Risiko selbst zu steuern. Die Verordnung sagt das ausdrücklich, und eine Frage kann vollständig darauf gebaut sein, dass Bewerber das Gegenteil annehmen. ## Wie man dieses Fachgebiet lernt Lesen Sie NIS2 zuerst — die Definitionen, die Anwendungsbereichsvorschriften, die Risikomanagementmaßnahmen und den Meldeartikel. Sie ist der Ankerrechtsakt, und die drei anderen Cybertexte definieren sich an ihr. Lesen Sie danach die Verzahnungsvorschriften statt CER, Cyberresilienzverordnung und DORA vollständig. Der prüfungsrelevante Inhalt liegt dort, wo sie sich berühren: Konformitätsvermutung, wechselseitige Unterrichtung zuständiger Behörden, Grenze des Überwachungsrahmens. Behandeln Sie die institutionelle Hälfte danach getrennt — die Gründungsverordnungen von Europol, Eurojust und der Europäischen Agentur für die Grenz- und Küstenwache sowie das EAD-Material zu zivilen GSVP-Missionen und Militäroperationen. Diese Hälfte wird hier nicht behandelt und dennoch geprüft. Und dann üben Sie unter Zeitdruck. Achtzig Sekunden pro Frage verwandeln fünf Rechtsakte in Punkte. Den Sicherheitsblock können Sie auf [EU-now](https://eu-now.com) in kurzen Einheiten trainieren und [EUgenio](/tutor) fragen, wenn zwei Rechtsakte dasselbe zu sagen scheinen — er antwortet aus denselben amtlichen Texten, die hier zitiert sind, und sagt, wenn er keine Quelle hat, statt eine zu erfinden. ### Quellen und Fundstellen Alle Zitate dieses Artikels stammen aus amtlichen EU-Quellen: - [Richtlinie (EU) 2022/2555 — NIS2 (ABl. L 333, 27.12.2022)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) - [Richtlinie (EU) 2022/2557 — Resilienz kritischer Einrichtungen](https://eur-lex.europa.eu/eli/dir/2022/2557/oj) - [Verordnung (EU) 2019/881 — Rechtsakt zur Cybersicherheit (ABl. L 151, 7.6.2019)](https://eur-lex.europa.eu/eli/reg/2019/881/oj) - [Verordnung (EU) 2022/2554 — DORA](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) - [ENISA — Agentur der Europäischen Union für Cybersicherheit](https://www.enisa.europa.eu) - [Europol](https://www.europol.europa.eu) - [EAD — Sicherheit und Verteidigung](https://www.eeas.europa.eu/eeas/common-security-and-defence-policy_en) Wo dieser Artikel beschreibt, was eine Frage wahrscheinlich prüft, ist das unsere redaktionelle Einschätzung auf Grundlage des Formats veröffentlichter fachbezogener Tests — kein Text aus einer Ausschreibung. Die Bestimmungen, Fristen und Definitionen sind aus den oben aufgeführten Rechtsakten zitiert. ## FAQ ### Gibt es ein EPSO-Auswahlverfahren für Sicherheitsfachleute? Sicherheit erreicht die Institutionen über mehrere Wege. CAST Permanent hält die Profile Sicherheitsbetrieb, Sicherheitsbetrieb einschließlich regionaler Sicherheit, technische Sicherheit, Informations- und Dokumentensicherheit sowie IT-Sicherheit fortlaufend offen, und Sicherheitsinhalte tauchen zudem in den fachbezogenen Tests der Bereiche IT und Recht auf. Was gerade offen ist, steht tagesaktuell auf der [Verfahrensseite](/vacancies). ### Was deckt dieser Leitfaden ab, und was nicht? Er deckt das EU-Recht zu Cybersicherheit und Resilienz ab — NIS2, den Rechtsakt zur Cybersicherheit, die Cyberresilienzverordnung, die CER-Richtlinie und DORA — weil dort die präzisen, prüfbaren Bestimmungen liegen. Er deckt nicht die GSVP- und JI-Hälfte des Stoffs ab: die Mandate von Europol, Eurojust und Frontex, das EU INTCEN sowie zivile Missionen gegenüber Militäroperationen. Diese Hälfte wird ebenfalls geprüft; lesen Sie sie in den Gründungsverordnungen der Agenturen und auf den am Ende genannten EAD-Seiten. ### Was ist der Unterschied zwischen wesentlicher und wichtiger Einrichtung? Beide werden von NIS2 erfasst und tragen die Risikomanagement- und Meldepflichten; der Unterschied liegt im Aufsichtsregime, ex ante bei wesentlichen und im Wesentlichen ex post bei wichtigen Einrichtungen. Welche Einrichtung in welche Kategorie fällt, folgt aus den in den Anhängen I und II genannten Typen, den Größenschwellen und besonderen Identifizierungswegen — darunter Einrichtungen, die nach der CER-Richtlinie als kritisch eingestuft wurden, und solche, die ein Mitgliedstaat vor dem 16. Januar 2023 nach der alten NIS-Richtlinie als Betreiber wesentlicher Dienste bestimmt hatte. ### Erfüllt ein europäisches Cybersicherheitszertifikat die Cyberresilienzverordnung? Es begründet eine Vermutung. Produkte mit digitalen Elementen und vom Hersteller eingerichtete Prozesse, für die eine EU-Konformitätserklärung oder ein Zertifikat im Rahmen eines nach der Verordnung (EU) 2019/881 angenommenen europäischen Schemas für die Cybersicherheitszertifizierung ausgestellt wurde, gelten als konform mit den grundlegenden Cybersicherheitsanforderungen — allerdings nur insoweit, als diese Erklärung oder dieses Zertifikat, oder Teile davon, jene Anforderungen tatsächlich abdecken. ### Für wen gilt der DORA-Überwachungsrahmen? Nur für kritische IKT-Drittdienstleister, die über einen Mechanismus mit quantitativen und qualitativen Kritikalitätskriterien benannt werden. Der Rahmen ersetzt nicht die eigene Pflicht der Finanzunternehmen, die Risiken aus der Nutzung von IKT-Drittdienstleistern zu steuern, einschließlich der laufenden Überwachung ihrer vertraglichen Vereinbarungen. Die Mitgliedstaaten behalten die Zuständigkeit, Anbieter zu beaufsichtigen, die national als wichtig gelten, aber nicht als kritisch benannt sind. ## Official sources - Directive (EU) 2022/2555 — NIS2 (OJ L 333, 27.12.2022): https://eur-lex.europa.eu/eli/dir/2022/2555/oj - Directive (EU) 2022/2557 — resilience of critical entities: https://eur-lex.europa.eu/eli/dir/2022/2557/oj - Regulation (EU) 2019/881 — Cybersecurity Act (OJ L 151, 7.6.2019): https://eur-lex.europa.eu/eli/reg/2019/881/oj - Regulation (EU) 2022/2554 — DORA: https://eur-lex.europa.eu/eli/reg/2022/2554/oj - EEAS — Security and Defence: https://www.eeas.europa.eu/eeas/common-security-and-defence-policy_en ## This article in other languages - English: https://eu-now.com/en/blog/epso-security-specialist-competitions-guide/llms.txt - French: https://eu-now.com/fr/blog/epso-security-specialist-competitions-guide/llms.txt - Spanish: https://eu-now.com/es/blog/epso-security-specialist-competitions-guide/llms.txt - Italian: https://eu-now.com/it/blog/epso-security-specialist-competitions-guide/llms.txt Source of record: https://eu-now.com/de/blog/epso-security-specialist-competitions-guide — published by EU-now (eu-now.com), which is not EPSO and not affiliated with the European Commission.