EPSO-Fachtest Cybersicherheit: 10 Fragen im Prüfungstempo

Die 10 Fragen als PDF herunterladen →

Was der Fachtest abdeckt — der vollständige Leitfaden → · Verfahrensblatt und Fristen →

Die zehn Fragen, mit Antworten und Quellen

Dieselben zehn Fragen mit Antworten und Quellen, zum Lesen und für Suchmaschinen. Echte Fragen aus dem EU-now-Bestand, aus den amtlichen Texten geschrieben. Ohne Konto.

1. 1. Eine wesentliche Einrichtung nach der Richtlinie (EU) 2022/2555 (NIS 2) erlangt am Montag um 9:00 Uhr Kenntnis von einem erheblichen Sicherheitsvorfall. Welche Abfolge von Meldungen an ihr CSIRT verlangt die Richtlinie?

   • A Eine Meldung des Vorfalls innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von drei Monaten; eine Frühwarnung ist nicht nötig.
   • B Frühwarnung binnen 24 Stunden, Meldung des Vorfalls binnen 72 Stunden, Abschlussbericht einen Monat nach dieser Meldung.
   • C Frühwarnung binnen 72 Stunden, Meldung des Vorfalls binnen 24 Stunden nach der Eindämmung, Abschlussbericht binnen eines Monats.
   • D Eine Meldung an die nationale Datenschutzbehörde innerhalb von 72 Stunden, wie bei einer Verletzung des Schutzes personenbezogener Daten nach der DSGVO.
   Richtige Antwort: B

   Artikel 23 der NIS-2-Richtlinie sieht ein gestuftes Verfahren vor: eine Frühwarnung unverzüglich und in jedem Fall innerhalb von 24 Stunden nach Kenntniserlangung des erheblichen Sicherheitsvorfalls, eine Meldung innerhalb von 72 Stunden, die die Frühwarnung aktualisiert und eine erste Bewertung enthält, und einen Abschlussbericht spätestens einen Monat nach der Meldung. Quelle: Richtlinie (EU) 2022/2555, Artikel 23 und Erwägungsgrund 102.

   • A — Zuerst kommt eine 24-Stunden-Frühwarnung, und der Abschlussbericht ist einen Monat nach der Meldung des Vorfalls fällig.
   • B — Richtig: 24 Stunden, 72 Stunden, ein Monat.
   • C — Die Fristen sind vertauscht: Die Frühwarnung ist der 24-Stunden-Schritt, die Meldung des Vorfalls der 72-Stunden-Schritt.
   • D — Die 72-Stunden-Meldung einer Datenschutzverletzung an die Datenschutzbehörde ist Artikel 33 DSGVO, ein anderes Instrument mit anderem Adressaten.

2. 2. Wie oft muss nach der Verordnung (EU, Euratom) 2023/2841 über die Cybersicherheit der Organe, Einrichtungen und sonstigen Stellen der Union jede Einrichtung der Union nach der ersten eine Bewertung des Cybersicherheitsreifegrads durchführen?

   • A Mindestens alle zwei Jahre, unter Einbeziehung aller Elemente ihrer IKT-Umgebung.
   • B Jedes Jahr, als Kapitel des jährlichen Tätigkeitsberichts.
   • C Mindestens alle drei Jahre, abgestimmt auf den Aufsichtszyklus der NIS 2.
   • D Nur auf Anforderung des CERT-EU nach einem erheblichen Sicherheitsvorfall.
   Richtige Antwort: A

   Artikel 7 der Verordnung 2023/2841 verpflichtet jede Einrichtung der Union, bis zum 8. Juli 2025 und danach mindestens alle zwei Jahre eine Bewertung des Cybersicherheitsreifegrads durchzuführen, die alle Elemente ihrer IKT-Umgebung einbezieht, gegebenenfalls mit Unterstützung eines spezialisierten Dritten. Der interne Rahmen für Cybersicherheitsrisikomanagement, Governance und Kontrolle war bis zum 8. April 2025 einzurichten (Artikel 6). Quelle: Verordnung (EU, Euratom) 2023/2841, Artikel 6 und 7.

   • A — Richtig: bis zum 8. Juli 2025 und danach mindestens alle zwei Jahre.
   • B — Die Verordnung knüpft die Bewertung weder an den Tätigkeitsbericht noch an einen Jahreszyklus.
   • C — Drei Jahre ist eine Zahl im Stil der NIS 2; die Verordnung sagt zwei.
   • D — Die Bewertung ist eine ständige Pflicht der Einrichtung, nicht etwas, das das CERT-EU auslöst.

3. 3. Ein Hersteller erfährt, dass eine Schwachstelle in einem seiner Produkte mit digitalen Elementen aktiv ausgenutzt wird. Was muss er nach der Verordnung (EU) 2024/2847 (Cyberresilienzverordnung) tun?

   • A Die Marktüberwachungsbehörde seines Mitgliedstaats innerhalb von 30 Tagen benachrichtigen und dann mit dem Patch einen Sicherheitshinweis veröffentlichen.
   • B Frühwarnung binnen 24 Stunden, Meldung des Vorfalls binnen 72 Stunden und Abschlussbericht binnen eines Monats, wie bei NIS-2-Vorfällen.
   • C Nur die ENISA informieren, innerhalb von 72 Stunden, sobald ein Patch veröffentlicht ist, und die Nutzer beim nächsten Update unterrichten.
   • D Frühwarnung binnen 24 Stunden, Schwachstellenmeldung binnen 72 Stunden, Abschlussbericht 14 Tage nach Verfügbarkeit einer Abhilfe.
   Richtige Antwort: D

   Artikel 14 der Cyberresilienzverordnung verpflichtet Hersteller, eine aktiv ausgenutzte Schwachstelle gleichzeitig dem als Koordinator benannten CSIRT und der ENISA über die zentrale Meldeplattform zu melden: Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, Schwachstellenmeldung innerhalb von 72 Stunden und Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Abhilfe- oder Minderungsmaßnahme. Quelle: Verordnung (EU) 2024/2847, Artikel 14 und 16.

   • A — Marktüberwachungsbehörden überwachen die Konformität; die Meldepflicht richtet sich an das koordinierende CSIRT und die ENISA, mit viel kürzeren Fristen.
   • B — Das ist das NIS-2-Schema für Vorfälle; für eine aktiv ausgenutzte Schwachstelle legt die Cyberresilienzverordnung den Abschlussbericht 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme fest.
   • C — Die Meldung hängt nicht von einem Patch ab und geht gleichzeitig an CSIRT und ENISA.
   • D — Richtig: 24 Stunden, 72 Stunden, 14 Tage, über die zentrale Meldeplattform.

4. 4. Welche Aussage beschreibt das durch die Verordnung (EU) 2025/38 (Cybersolidaritätsverordnung) geschaffene Europäische Cybersicherheitswarnsystem richtig?

   • A Ein einziges, von der ENISA betriebenes Security Operations Centre auf EU-Ebene, das die nationalen SOCs der Mitgliedstaaten ersetzt.
   • B Ein Pool vertrauenswürdiger Anbieter verwalteter Sicherheitsdienste, den die Mitgliedstaaten nach einem Cybersicherheitsvorfall großen Ausmaßes abrufen können.
   • C Grenzüberschreitende Cyberhubs aus jeweils mindestens drei nationalen Cyberhubs, die Bedrohungen erkennen und Informationen austauschen.
   • D Der Mechanismus, mit dem die ENISA auf Ersuchen der Kommission erhebliche oder große Vorfälle im Nachhinein überprüft.
   Richtige Antwort: C

   Die Cybersolidaritätsverordnung baut das Europäische Cybersicherheitswarnsystem als mehrere interoperable grenzüberschreitende Cyberhubs auf, die jeweils drei oder mehr nationale Cyberhubs zusammenfassen, um Erkennung und Informationsaustausch zu stärken. Der Pool vertrauenswürdiger Anbieter ist die EU-Cybersicherheitsreserve als Teil des Cybersicherheits-Notfallmechanismus, und die nachträgliche Überprüfung ist der Mechanismus zur Überprüfung von Cybersicherheitsvorfällen. Quelle: Verordnung (EU) 2025/38, Erwägungsgründe und Kapitel II.

   • A — Es gibt kein einziges EU-SOC; das System verbindet nationale und grenzüberschreitende Hubs, ohne nationale Kapazitäten zu ersetzen.
   • B — Das ist die EU-Cybersicherheitsreserve, eine andere Säule.
   • C — Richtig: grenzüberschreitende Hubs, die drei oder mehr nationale Hubs zusammenfassen.
   • D — Das ist der Mechanismus zur Überprüfung von Cybersicherheitsvorfällen.

5. 5. Welche Komponenten stehen in der Zero-Trust-Architektur nach NIST SP 800-207 zwischen einem zugreifenden Subjekt und der Unternehmensressource, und was tun sie?

   • A Ein Policy Decision Point, der über jede Sitzung entscheidet, und ein Policy Enforcement Point, der die Verbindung aufbaut, überwacht und beendet.
   • B Eine Firewall und ein VPN-Konzentrator, die Zugang zum internen Netzsegment gewähren, sobald sich das Gerät innerhalb des Perimeters befindet.
   • C Ein SIEM und ein XDR-Agent, die jede Sitzung protokollieren und sie automatisch blockieren, sobald ein korrelierter Alarm ausgelöst wird.
   • D Eine Zertifizierungsstelle und ein Verzeichnisdienst, die den Benutzer einmal täglich authentifizieren und dem Gerät danach bis zur Abmeldung vertrauen.
   Richtige Antwort: A

   SP 800-207 modelliert den Zero-Trust-Zugriff über einen Policy Decision Point und den zugehörigen Policy Enforcement Point: Der PDP bewertet jede Anfrage anhand der Richtlinie, der PEP stellt die Verbindung her, überwacht und beendet sie. Die Grundsätze ergänzen, dass alle Datenquellen und Rechendienste Ressourcen sind und Zugriff pro Sitzung gewährt wird; weder der Netzstandort noch eine tägliche Anmeldung begründen für sich Vertrauen. Quelle: NIST SP 800-207, Abschnitte 2 und 3.

   • A — Richtig: PDP entscheidet, PEP setzt durch, pro Sitzung.
   • B — Ein Perimeter, der allem Inneren vertraut, ist genau das, was Zero Trust abschafft.
   • C — Überwachungswerkzeuge speisen die Entscheidung, sind aber nicht die Zugriffskontrollkomponenten des Modells.
   • D — Zero Trust bewertet jede Sitzung; eine einmal tägliche Authentifizierung widerspricht den Grundsätzen.

6. 6. Ein EU-Organ möchte, dass sich privilegierte Administratoren auf Authentication Assurance Level 3 (AAL3) nach NIST SP 800-63B-4 authentifizieren. Welche Authentifikator-Konfiguration erfüllt AAL3?

   • A Ein Passwort plus ein per SMS an das registrierte Mobiltelefon des Administrators gesendeter Einmalcode.
   • B Ein synchronisierbarer Passkey in einem Cloud-Schlüsselbund: phishing-resistent und auf jedem Gerät des Administrators nutzbar.
   • C Ein phishing-resistenter, hardwaregebundener Authentifikator: nicht exportierbarer Schlüssel, zwei verschiedene Faktoren.
   • D Ein gemerktes Geheimnis mit mindestens 15 Zeichen, gegen eine Sperrliste geprüft und alle 90 Tage gewechselt.
   Richtige Antwort: C

   SP 800-63B-4 verlangt, dass die Authentifizierung auf AAL3 auf dem Besitznachweis eines Schlüssels über ein Public-Key-Protokoll beruht, mit einem phishing-resistenten Authentifikator, dessen Schlüssel nicht exportierbar ist und in einer isolierten, hardwaregeschützten Umgebung liegt, sowie mit dem Nachweis zweier unterschiedlicher Faktoren. Da synchronisierbare Authentifikatoren einen exportierbaren privaten Schlüssel erfordern, DÜRFEN sie auf AAL3 NICHT verwendet werden. Quelle: NIST SP 800-63B-4 (Juli 2025), Abschnitt 2.

   • A — Ein SMS-Code ist weder phishing-resistent noch hardwaregebunden; er erreicht AAL3 nicht.
   • B — Synchronisierbare Authentifikatoren sind auf AAL3 ausdrücklich ausgeschlossen, weil der Schlüssel zum Synchronisieren exportierbar sein muss.
   • C — Richtig: phishing-resistent, nicht exportierbar, hardwaregeschützt, zwei Faktoren.
   • D — Ein gemerktes Geheimnis ist ein einziger Faktor, und SP 800-63B-4 verbietet es, regelmäßige Passwortwechsel zu verlangen.

7. 7. Ein Sicherheitsarchitekt muss Post-Quanten-Algorithmen für zwei Zwecke wählen: den Aufbau eines gemeinsamen Schlüssels für verschlüsselte Sitzungen und das Signieren von Software-Updates. Welche NIST-Standards passen zu welchem Zweck?

   • A Jeder der drei beliebig, da alle gitterbasierte Signaturverfahren sind.
   • B FIPS 204 (ML-DSA) für den Schlüsselaufbau; FIPS 203 (ML-KEM) für digitale Signaturen.
   • C FIPS 205 (SLH-DSA) für den Schlüsselaufbau; FIPS 203 (ML-KEM) für Signaturen, weil hashbasierte Verfahren Schlüssel einkapseln.
   • D FIPS 203 (ML-KEM) für den Schlüsselaufbau; FIPS 204 (ML-DSA) oder FIPS 205 (SLH-DSA) für digitale Signaturen.
   Richtige Antwort: D

   FIPS 203 ist der Standard für den modul-gitterbasierten Schlüsselkapselungsmechanismus (ML-KEM), mit dem gemeinsame geheime Schlüssel aufgebaut werden. FIPS 204 ist der modul-gitterbasierte Signaturstandard (ML-DSA) und FIPS 205 der zustandslose hashbasierte Signaturstandard (SLH-DSA), beide für Signaturen. Die Empfehlung (EU) 2024/1101 fordert die Mitgliedstaaten auf, einen koordinierten Übergang zu solchen Algorithmen zu planen. Quelle: NIST FIPS 203, 204 und 205 (August 2024).

   • A — SLH-DSA ist hashbasiert, nicht gitterbasiert, und ML-KEM ist kein Signaturverfahren.
   • B — Vertauscht: ML-DSA signiert, ML-KEM baut Schlüssel auf.
   • C — SLH-DSA ist ein hashbasiertes Signaturverfahren, kein KEM.
   • D — Richtig: ML-KEM kapselt Schlüssel; ML-DSA und SLH-DSA signieren.

8. 8. Wie strukturiert NIST SP 800-61 Revision 3 (2025) die Reaktion auf Sicherheitsvorfälle im Vergleich zum früheren vierphasigen Lebenszyklus?

   • A Sie behält den vierphasigen Lebenszyklus der Revision 2 als einzig gültiges Modell bei und fügt eine fünfte Phase für KI-bezogene Vorfälle hinzu.
   • B Sie bildet die Vorfallreaktion auf die sechs CSF-2.0-Funktionen ab und macht Vorbereitung und Lessons Learned zu laufenden Aktivitäten.
   • C Sie ersetzt den Lebenszyklus durch den Prozess nach ISO/IEC 27035 und überträgt alle Reaktionsaufgaben einem externen CSIRT.
   • D Sie streicht die Nachbereitungsphase ganz, da Lessons Learned nun vollständig durch Kontrollen aus SP 800-53 abgedeckt sind.
   Richtige Antwort: B

   Revision 3 stellt ein Lebenszyklusmodell der Vorfallreaktion vor, das auf den Funktionen des CSF 2.0 beruht, und bildet die Phasen des früheren Modells darauf ab; Vorbereitung und Lessons Learned werden zu fortlaufenden, organisationsweiten Aktivitäten statt zu Stufen eines einzelnen Vorfalls. Quelle: NIST SP 800-61r3, Abschnitte 1 und 2 (Tabelle 1, Abbildungen 1 und 2).

   • A — Das vierphasige Modell der Revision 2 wird als das frühere Modell dargestellt; eine KI-Phase kommt nicht hinzu.
   • B — Richtig: ein auf CSF 2.0 gestütztes Modell mit Vorbereitung und Lessons Learned als fortlaufenden Aktivitäten.
   • C — SP 800-61r3 ist NIST-Leitfaden, keine Verweisung an ISO 27035 oder ein externes Team.
   • D — Das Lernen nach dem Vorfall bleibt erhalten und wird ausgeweitet, nicht gestrichen.

9. 9. Für welche Vertrauenswürdigkeitsstufe darf ein Hersteller nach der Verordnung (EU) 2019/881 (Rechtsakt zur Cybersicherheit) eine Konformitätsselbstbewertung anstelle einer Zertifizierung durch Dritte nutzen?

   • A Jede Stufe, sofern die ENISA unterrichtet wird.
   • B Die Vertrauenswürdigkeitsstufen „niedrig“ und „mittel“.
   • C Nur die Vertrauenswürdigkeitsstufe „niedrig“.
   • D Keine: Eine europäische Cybersicherheitszertifizierung wird stets von einer Konformitätsbewertungsstelle ausgestellt.
   Richtige Antwort: C

   Der Rechtsakt zur Cybersicherheit definiert drei Vertrauenswürdigkeitsstufen, „niedrig“, „mittel“ und „hoch“, und lässt eine Konformitätsselbstbewertung nur zu, wenn das IKT-Produkt, der Dienst oder der Prozess der Stufe „niedrig“ entspricht; die höheren Stufen erfordern eine Bewertung durch eine Konformitätsbewertungsstelle. Das erste in diesem Rahmen angenommene Schema ist EUCC (Durchführungsverordnung (EU) 2024/482). Quelle: Verordnung (EU) 2019/881, Erwägungsgründe 79 und 80 und Artikel 53.

   • A — Die ENISA erarbeitet Schemata; sie zertifiziert nicht und nimmt in diesem Sinne keine Selbstbewertungsmeldungen entgegen.
   • B — Die Stufe „mittel“ erfordert eine Bewertung durch Dritte.
   • C — Richtig: Selbstbewertung ist nur für „niedrig“ zulässig.
   • D — Die Selbstbewertung existiert, aber nur für die niedrigste Stufe.

10. 10. Wie oft müssen von ihrer zuständigen Behörde benannte Finanzunternehmen nach der Verordnung (EU) 2022/2554 (DORA) bedrohungsorientierte Penetrationstests (TLPT) durchführen?

    • A Mindestens alle 3 Jahre, oder häufiger, wenn die zuständige Behörde es verlangt.
    • B Jedes Jahr, im Rahmen der jährlichen Überprüfung des IKT-Risikomanagementrahmens.
    • C Nur nachdem ein schwerwiegender IKT-bezogener Vorfall der zuständigen Behörde gemeldet wurde.
    • D Alle 5 Jahre, im Einklang mit dem Prüfzyklus für wesentliche Einrichtungen nach NIS 2.
    Richtige Antwort: A

    Artikel 26 der DORA verpflichtet die nach seinem Absatz 8 benannten Finanzunternehmen (außer Kleinstunternehmen), mindestens alle 3 Jahre erweiterte Tests in Form von TLPT durchzuführen; die zuständige Behörde kann je nach Risikoprofil und betrieblichen Umständen häufigere Tests verlangen. Quelle: Verordnung (EU) 2022/2554, Artikel 26.

    • A — Richtig: mindestens alle 3 Jahre, auf Verlangen häufiger.
    • B — Jährliche Tests gehören zum allgemeinen Testprogramm nach Artikel 24; TLPT haben ihren eigenen Dreijahresrhythmus.
    • C — TLPT sind eine geplante Anforderung, nicht durch Vorfälle ausgelöst.
    • D — Weder fünf Jahre noch der NIS-2-Zyklus stehen in der DORA.

Jede Erklärung nennt den amtlichen Text, aus dem sie stammt: die Bekanntmachung C/2026/4668 und die im Leitfaden zum Fachgebiet aufgeführten Verordnungen sowie NIST- und ENISA-Veröffentlichungen.