Was ist EU-CyCLONe?
EU-CyCLONe ist das durch Artikel 16 Absatz 1 der NIS-2-Richtlinie eingerichtete Europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen; seine Mitglieder vertreten nationale Cyberkrisenmanagementbehörden.
Der Normwortlaut
„Zur Unterstützung des koordinierten Managements von Cybersicherheitsvorfällen großen Ausmaßes und Krisen auf operativer Ebene und zur Gewährleistung eines regelmäßigen Austauschs relevanter Informationen zwischen den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der Union wird das Europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen (European Cyber Crises Liaison Organisation Network, EU-CyCLONe) eingerichtet.“
Amtliche Fundstelle: Artikel 16 Absatz 1 der Richtlinie (EU) 2022/2555. Rechtliche Einordnung: Der Wortlaut richtet das Netzwerk als institutionellen Kooperationsrahmen ein. Er enthält keine unmittelbare Handlungspflicht für private Einrichtungen oder deren Geschäftsleitungen und bestimmt für sie weder einen eigenen Meldetatbestand noch eine Meldefrist.
Wer gehört EU-CyCLONe an?
Mitglieder sind Vertreter der Behörden der Mitgliedstaaten für das Cyberkrisenmanagement. Die Kommission ist Mitglied, wenn ein potenzieller oder andauernder Cybersicherheitsvorfall großen Ausmaßes erhebliche Auswirkungen auf Dienste und Tätigkeiten im Anwendungsbereich der Richtlinie hat oder wahrscheinlich haben wird. In anderen Fällen nimmt sie als Beobachterin teil. ENISA führt das Sekretariat. Weitere maßgebliche Interessenträger können gegebenenfalls als Beobachter eingeladen werden; daraus entsteht keine Mitgliedschaft.
Wann liegt ein Cybersicherheitsvorfall großen Ausmaßes vor?
Nach Artikel 6 Nummer 7 der Richtlinie liegt er vor, wenn ein Sicherheitsvorfall eine Störung verursacht, deren Ausmaß die Reaktionsfähigkeit eines Mitgliedstaats übersteigt, oder wenn er beträchtliche Auswirkungen auf mindestens zwei Mitgliedstaaten hat. Die Alternativen sind nicht kumulativ. Die zusätzliche Schwelle erheblicher tatsächlicher oder wahrscheinlicher Auswirkungen auf erfasste Dienste und Tätigkeiten entscheidet dagegen speziell darüber, ob die Kommission Mitglied ist; wird sie nicht erreicht, bleibt die Kommission Beobachterin.
Welche Aufgaben hat EU-CyCLONe?
Artikel 16 Absatz 3 weist dem Netzwerk Aufgaben bei der Vorsorge, der Entwicklung eines gemeinsamen Lagebewusstseins, der Bewertung von Folgen und Auswirkungen sowie dem Vorschlagen möglicher Abhilfemaßnahmen zu. Außerdem koordiniert es das Management von Cybersicherheitsvorfällen großen Ausmaßes und Krisen und unterstützt politische Entscheidungen. Nationale Reaktionspläne erörtert es nur auf Ersuchen des betreffenden Mitgliedstaats.
Wie ist EU-CyCLONe von anderen Krisenstrukturen abzugrenzen?
Technische und autoritative Einordnung: EU-CyCLONe ist ein operatives Kooperations- und Krisenmanagementnetzwerk zwischen der technischen und der strategisch-politischen Ebene, kein Incident-Response-Team. Es ersetzt weder das CSIRTs-Netzwerk noch nationale Krisenleitungen. Die Zusammenarbeit mit dem CSIRTs-Netzwerk erfolgt nach Artikel 15 Absatz 6 und Artikel 16 Absatz 6 auf Grundlage vereinbarter Verfahrensmodalitäten. ENISA unterstützt als Sekretariat den sicheren Informationsaustausch.
Können Drittstaaten oder internationale Organisationen teilnehmen?
Eine solche Beteiligung an bestimmten Tätigkeiten ist nicht automatisch vorgesehen. Sie richtet sich gegebenenfalls nach einer internationalen Übereinkunft gemäß Artikel 218 AEUV. Diese Übereinkunft muss mit dem Datenschutzrecht der Union vereinbar sein.
Welche Fristen und Schwellenwerte sind relevant?
EU-CyCLONe musste dem Europäischen Parlament und dem Rat bis zum 17. Juli 2024 einen Bericht zur Bewertung seiner Arbeit vorlegen und muss danach alle 18 Monate berichten. Daneben müssen die Mitgliedstaaten der Kommission und EU-CyCLONe innerhalb von drei Monaten nach Erlass ihrer nationalen Reaktionspläne die einschlägigen Informationen in Bezug auf die Anforderungen des Artikels 9 Absatz 4 übermitteln. Sie dürfen Informationen nur ausnehmen, wenn und soweit dies für ihre nationale Sicherheit erforderlich ist. Diese Vorgaben richten sich an EU-CyCLONe beziehungsweise die Mitgliedstaaten und begründen keine allgemeine Frist für private Einrichtungen.
Was bedeutet EU-CyCLONe für private Einrichtungen?
Artikel 16 macht private Einrichtungen weder zu Mitgliedern des Netzwerks noch zu unmittelbaren Adressaten einer Meldung an EU-CyCLONe. Wie ein Unternehmen nationale Stellen informiert oder in nationale Krisenverfahren eingebunden wird, richtet sich nach dem jeweils anwendbaren nationalen Recht und den nationalen Verfahren. Die unionsweite Rolle von EU-CyCLONe ist deshalb von eigenen gesetzlichen Melde- und Krisenpflichten einer Einrichtung getrennt zu prüfen.
Häufige Fehlannahmen
Die folgenden Abgrenzungen verhindern eine falsche Einordnung des Netzwerks:
- „Unternehmen sind Mitglieder von EU-CyCLONe.“ Nein. Mitglieder sind Vertreter nationaler Cyberkrisenmanagementbehörden; weitere maßgebliche Interessenträger können allenfalls als Beobachter eingeladen werden.
- „EU-CyCLONe ist ein direkter Meldeempfänger für Unternehmen.“ Artikel 16 richtet keine allgemeine unmittelbare Meldepflicht privater Einrichtungen an das Netzwerk ein.
- „EU-CyCLONe ersetzt das CSIRTs-Netzwerk oder nationale Krisenleitungen.“ Nein. Es hat eine eigenständige operative Koordinierungsrolle und arbeitet mit dem CSIRTs-Netzwerk nach vereinbarten Verfahrensmodalitäten zusammen.
- „Die Kommission ist immer aktives Mitglied.“ Nein. Ohne den besonderen potenziellen oder andauernden Vorfall mit erheblichen tatsächlichen oder wahrscheinlichen Auswirkungen auf erfasste Dienste und Tätigkeiten nimmt sie als Beobachterin teil.
- „Ein Vorfall ist nur dann groß angelegt, wenn mindestens zwei Mitgliedstaaten betroffen sind.“ Nein. Alternativ genügt eine Störung, deren Ausmaß die Reaktionsfähigkeit eines Mitgliedstaats übersteigt.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind aus der institutionellen Rolle von EU-CyCLONe abgeleitet; Artikel 16 gibt sie privaten Geschäftsleitungen nicht unmittelbar als Pflichten auf.
- EU-CyCLONe in Krisen- und Meldeplänen nicht als eigenen Meldeempfänger oder als Ersatz nationaler Krisenstrukturen behandeln.
- Die nach nationalem Recht zuständigen Melde-, Aufsichts- und Krisenkontakte eindeutig benennen und Eskalationswege regelmäßig überprüfen.
- Rollen, Entscheidungsbefugnisse und Übergaben für große oder grenzüberschreitende Vorfälle dokumentieren, damit belastbare Lageinformationen über die zuständigen nationalen Strukturen bereitgestellt werden können.
- Krisenübungen darauf prüfen, ob technische Vorfallsbearbeitung, nationale Behördenkoordination und strategisch-politische Entscheidungen sauber voneinander getrennt und miteinander verbunden sind.
- Für jeden relevanten Vorfall gesondert prüfen und dokumentieren, welche gesetzlichen Meldepflichten und Fristen tatsächlich gelten; die EU-CyCLONe-Regeln ersetzen diese Prüfung nicht.
Für die Geschäftsleitung
Reichweite: EU-CyCLONe verbindet nationale Cyberkrisenmanagementbehörden auf operativer EU-Ebene; private Unternehmen sind keine unmittelbaren Mitglieder oder Adressaten des Artikels 16. Entscheidung: Unternehmensprozesse sollten an den zuständigen nationalen Stellen und den konkret anwendbaren Meldepflichten ausgerichtet werden. Nachweis: Kontaktwege, Eskalationskriterien, Rollen, Übungen und die rechtliche Prüfung konkreter Meldepflichten sollten nachvollziehbar dokumentiert sein.
Quellen
- Richtlinie (EU) 2022/2555, insbesondere Artikel 6 Nummer 7, Artikel 9 Absatz 5, Artikel 15 Absatz 6 sowie Artikel 16 und 17.
- ENISA: EU-CyCLONe, autoritative Einordnung zu Zweck, Zusammensetzung und Aufgaben des Netzwerks.
