Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 zur Ergänzung der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates durch Festlegung eines Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse

Die Delegierte Verordnung (EU) 2024/1366 ist eine Verordnung und als delegierter Unionsrechtsakt zur Ergänzung der Verordnung (EU) 2019/943 unmittelbar in allen Mitgliedstaaten verbindlich. Sie verortet sich systematisch im Energierecht und Cybersicherheitsrecht des Elektrizitätsbinnenmarkts und konkretisiert Artikel 59 Absatz 2 Buchstabe e der Verordnung (EU) 2019/943 durch einen sektorspezifischen Netzkodex für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse. Inhaltlich regelt sie insbesondere gemeinsame Mindest- und erweiterte Cybersicherheitskontrollen, Risikobewertungen auf Unions-, Regional-, Mitgliedstaaten- und Einrichtungsebene, Melde- und Informationsflüsse, Krisenmanagement, Übungen sowie den Schutz vertraulicher Informationen. Sie schafft damit einen spezialisierten, unionsweit harmonisierten Rahmen für die Prävention, Erkennung, Bewältigung und Nachbereitung cyberbedingter Risiken im grenzüberschreitenden Stromsystem. • Der Anwendungsbereich erfasst Elektrizitätsunternehmen, nominierte Strommarktbetreiber, organisierte Marktplätze, Anbieter kritischer IKT-Dienste, ENTSO-E, die EU-VNBO, Bilanzkreisverantwortliche, Betreiber von Ladepunkten, regionale Koordinierungszentren, Anbieter verwalteter Sicherheitsdienste sowie sonstige zugewiesene Dritte, soweit sie als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft werden. Zusätzlich werden zuständige Behörden, nationale Regulierungsbehörden, CSIRTs, Cybersicherheitsbehörden, ACER und ENISA funktional einbezogen; auch nicht in der Union niedergelassene Dienstleister können bei Tätigkeit für Einrichtungen in der Union erfasst sein. Sachlich beschränkt sich die Verordnung auf Cybersicherheitsaspekte grenzüberschreitender Stromflüsse und lässt nationale Zuständigkeiten für die nationale Sicherheit sowie besondere Zuständigkeiten bei Tätigkeiten zur Stromerzeugung in Kernkraftwerken unberührt. Ausgenommen sind damit insbesondere rein nationale Sicherheitsbelange sowie nicht vom Regelungszweck erfasste physische Gefahrenlagen, soweit diese durch andere Regelwerke adressiert werden. • In der Praxis müssen betroffene Strommarkt- und Netzakteure zunächst feststellen, ob ihre Prozesse und Vermögenswerte als erheblich oder kritisch für grenzüberschreitende Stromflüsse eingestuft werden. Darauf aufbauend sind Risikobewertungen, Perimeterbildung, Cybersicherheitsmanagementsysteme, Mindest- oder erweiterte Kontrollen, Meldewege, Krisenpläne und regelmäßige Übungen organisatorisch und technisch umzusetzen. Behörden, CSIRTs, ENTSO-E, EU-VNBO und ACER werden dabei in ein eng getaktetes Verfahren aus Einstufung, Genehmigung, Überwachung, Informationsaustausch und Krisenkoordination eingebunden.

Stand: 22.06.2026

Mitgliedstaaten: • Pflicht: Bis spätestens 13. Dezember 2024 eine zuständige Behörde benennen. • Pflicht: Die Kommission, ACER, ENISA, die NIS-Kooperationsgruppe und die Koordinierungsgruppe „Strom“ über Benennung und Änderungen informieren. • Pflicht: Sicherstellen, dass zuständige Behörden über ausreichende Befugnisse zur Förderung und Überwachung der Einhaltung verfügen. • Empfehlung: Nationale Zuständigkeiten zwischen Energie-, Cybersicherheits-, Krisen- und Regulierungsstellen frühzeitig abstimmen. Zuständige Behörden: • Pflicht: Einrichtungen mit erheblichen oder kritischen Auswirkungen anhand der unionsweit festgelegten Schwellenwerte ermitteln und unterrichten. • Pflicht: Nationale Zusammenarbeit mit CSIRTs, Cybersicherheitsbehörden, Regulierungsbehörden und Risikovorsorgebehörden koordinieren. • Pflicht: Informationen zu meldepflichtigen Cyberangriffen fristgerecht bewerten, anonymisieren und an zuständige Stellen und betroffene Einrichtungen weiterleiten. • Empfehlung: Einheitliche Verfahren für Einstufung, Informationsschutz, Ausnahmen und Krisenkoordination etablieren. Übertragungsnetzbetreiber: • Pflicht: In Zusammenarbeit mit der EU-VNBO Vorschläge für Methoden, Modalitäten, Kontrollen, Pläne und Klassifizierungsmethoden entwickeln. • Pflicht: Regionale Pläne zur Minderung des Cybersicherheitsrisikos erstellen und regelmäßig aktualisieren. • Pflicht: Genehmigte Modalitäten, Methoden und Pläne veröffentlichen, soweit keine Vertraulichkeit entgegensteht. • Empfehlung: Regionale Abstimmung und Konsultation von Interessenträgern frühzeitig organisatorisch absichern. Einrichtungen mit erheblichen oder kritischen Auswirkungen: • Pflicht: Ein Cybersicherheitsrisikomanagement für alle Vermögenswerte in den relevanten Perimetern durchführen. • Pflicht: Der zuständigen Behörde fristgerecht Berichte zur Risikobewertung, zu Kontrollen und zu kritischen IKT-Dienstleistern vorlegen. • Pflicht: Ein Cybersicherheitsmanagementsystem einrichten sowie meldepflichtige Cyberangriffe und Cyberbedrohungen fristgerecht an CSIRT und zuständige Behörde melden. • Empfehlung: Perimeter, Vermögensinventar, Krisenpläne und Business-Continuity-Prozesse integriert steuern. Einrichtungen mit kritischen Auswirkungen: • Pflicht: Erweiterte Cybersicherheitskontrollen innerhalb des Perimeters mit kritischen Auswirkungen anwenden. • Pflicht: Cybersicherheitsübungen durchführen oder an Übungen auf Ebene des Mitgliedstaats teilnehmen. • Pflicht: Die Anwendung des Cybersicherheitsmanagementsystems und der Kontrollen durch Audit oder nationales Überprüfungssystem nachweisen. • Empfehlung: Anbieter kritischer IKT-Dienste in Übungen, Prüfungen und Beschaffungsprozesse eng einbinden. Nicht in der Union niedergelassene erfasste Einrichtungen: • Pflicht: Innerhalb von drei Monaten nach Unterrichtung schriftlich einen Vertreter in der Union benennen. • Pflicht: Die zuständige Behörde über Name, Anschrift, E-Mail-Adresse und Telefonnummer des Vertreters informieren. • Pflicht: Den Vertreter mit ausreichenden Befugnissen und Ressourcen für die Zusammenarbeit mit Behörden und CSIRTs ausstatten. • Empfehlung: Zuständigkeits- und Kommunikationswege innerhalb der Union vertraglich eindeutig festlegen. CSIRTs: • Pflicht: Informationen über aktiv ausgenutzte Schwachstellen ohne Patch unverzüglich über geeignete sichere Kanäle weiterleiten. • Pflicht: Betroffene Einrichtungen bei koordinierter und rascher Behandlung von Schwachstellen unterstützen. • Pflicht: Informationen zu Cyberbedrohungen und Abhilfemaßnahmen fristgerecht an betroffene Einrichtungen und gegebenenfalls andere CSIRTs weitergeben. • Empfehlung: Frühwarn-, Schwachstellen- und Krisenprozesse mit Energiebehörden operativ verzahnen. ACER: • Pflicht: Die Durchführung der Verordnung überwachen und mindestens alle drei Jahre einen Bericht veröffentlichen. • Pflicht: Bei Bedarf Stellungnahmen zu vorgeschlagenen Modalitäten, Methoden und Plänen abgeben. • Pflicht: In Zusammenarbeit mit der ENISA Leistungsindikatoren und Benchmarking-Leitfäden vorbereiten. • Empfehlung: Überwachungsergebnisse systematisch für die Weiterentwicklung des sektorspezifischen Cybersicherheitsrahmens nutzen. ENTSO-E und EU-VNBO: • Pflicht: Bei Risikobewertungen, Leitlinien, Kontrollen, Beschaffungsempfehlungen und Übungen eng zusammenarbeiten. • Pflicht: Fortschritte regelmäßig an ACER, ENISA, NIS-Kooperationsgruppe und Koordinierungsgruppe „Strom“ berichten. • Pflicht: Vorläufige Leitlinien und Listen nach den Übergangsbestimmungen fristgerecht erstellen. • Empfehlung: Harmonisierte sektorweite Muster und Leitlinien so ausgestalten, dass sie regional vergleichbar und praktisch umsetzbar sind.