C_202605593DE.000101.fmx.xml

EMPFEHLUNG DER KOMMISSION

vom 29. Oktober 2026

zu Leitlinien in Bezug auf Betriebskontinuität und Stresstests für die nationalen Kontaktstellen im Rahmen des Katastrophenschutzverfahrens der Union

(C/2026/5593)

DIE EUROPÄISCHE KOMMISSION —

gestützt auf den Beschluss Nr. 1313/2013/EU des Europäischen Parlaments und des Rates vom 17. Dezember 2013 über ein Katastrophenschutzverfahren der Union (1), insbesondere auf Artikel 7,

in Erwägung nachstehender Gründe:

(1)	Nach Artikel 196 Absatz 1 Buchstabe b des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) fördert die Union eine schnelle und effiziente Zusammenarbeit in der Union zwischen den einzelstaatlichen Katastrophenschutzstellen.

(2)	Die Union ist gemäß Artikel 6 Buchstabe f des AEUV für die Durchführung von unterstützenden Maßnahmen im Bereich des Katastrophenschutzes zuständig.

(3)

Mit dem Katastrophenschutzverfahren der Union (im Folgenden „Unionsverfahren“), das mit dem Beschluss Nr. 1313/2013/EU geschaffen wurde, wird angestrebt, die Zusammenarbeit zwischen der Union und den Mitgliedstaaten zu stärken und die Koordinierung im Bereich des Katastrophenschutzes zu erleichtern, um die Wirksamkeit der Präventions-, Vorsorge- und Bewältigungssysteme für Naturkatastrophen und vom Menschen verursachte Katastrophen zu verbessern.

(4)

Die Union hat in den vergangenen Jahren mehrere hochgradig destabilisierende Ereignisse erlebt, insbesondere die Folgen der COVID-19-Pandemie, den Angriffskrieg Russlands gegen die Ukraine, die umfangreiche IT-Störung im Jahr 2024, den Sturm Éowyn in Irland im Januar 2025 und den Stromausfall auf der Iberischen Halbinsel im Jahr 2025. Destabilisierende Ereignisse können den Betrieb von Katastrophenschutzsystemen, die täglich rund um die Uhr an sieben Tagen der Woche einsatzbereit sein müssen, verhindern oder verzögern.

(5)

In Artikel 7 des Beschlusses Nr. 1313/2013/EU ist festgelegt, dass das Zentrum für die Koordination von Notfallmaßnahmen (Emergency Response Coordination Centre, ERCC) rund um die Uhr an sieben Tagen der Woche einsatzbereit ist und den Mitgliedstaaten und der Kommission für die Verfolgung der Ziele des Unionsverfahrens zur Verfügung steht. In Artikel 3 des Durchführungsbeschlusses (EU) 2025/704 der Kommission (2) ist ferner präzisiert, dass jeder Mitgliedstaat eine nationale Kontaktstelle (National Contact Point, NCP) für das ERCC benennt, die rund um die Uhr an sieben Tagen der Woche einsatzbereit ist.

(6)

In der Empfehlung der Kommission vom 8. Februar 2023 zu den Unionszielen für Katastrophenresilienz (3) werden das ERCC sowie die Katastrophenschutzbehörden in den Mitgliedstaaten und in den Teilnehmerstaaten des Unionsverfahrens aufgefordert, im Rahmen ihrer jeweiligen Mandate ihre Kapazitäten zur Planung der Betriebskontinuität zu stärken. Darin heißt es außerdem, dass das Unionsverfahren „die Durchführung von Stresstests unterstützen [sollte], um die Betriebskontinuität von Notfalleinsatzzentren zu testen, und mit den Mitgliedstaaten an der Weiterverfolgung der gewonnenen Erkenntnisse und Empfehlungen arbeiten [sollte]“. Die Stresstests der Notfalleinsatzzentren in ganz Europa bildeten die Leitinitiative für das Ziel Nr. 5 mit dem Titel „Gewährleistung eines robusten Katastrophenschutzsystems“, wie in der Mitteilung der Kommission über die Katastrophenresilienzziele der Europäischen Union (4) dargelegt.

(7)

Diese Bemühungen stehen im Einklang mit anderen Rahmenwerken, mit denen angestrebt wird, die Resilienz zu stärken, darunter die Europäische Strategie für eine Union der Krisenvorsorge (5) und die Grundanforderungen der NATO an die nationale Resilienz (6). Insbesondere wird in Maßnahme 51 der Strategie die Annahme von Leitlinien für „Stresstests“ von Notfall- und Krisenzentren in der gesamten EU gefordert.

(8)

In diesem Zusammenhang muss der Schwerpunkt auf die Betriebskontinuität der NCP des Unionsverfahrens gelegt und deren Resilienz erhöht werden, damit sie bei destabilisierenden Ereignissen operativ bleiben können, indem ihre Pläne und Verfahren für die Betriebskontinuität durch systematische Evaluierung und Stresstests gestärkt werden.

(9)

Darüber hinaus unterstehen Bewältigungskapazitäten, die auf Ersuchen über das Unionsverfahren für Einsätze zur Verfügung gestellt werden könnten, möglicherweise nicht der Behörde der NCP. Deshalb ist es für die Betriebskontinuität im Rahmen des Unionsverfahrens entscheidend, die Kommunikation mit den Einrichtungen sicherzustellen, die diese Kapazitäten während Störungen verwalten.

(10)

Vorkehrungen, mit denen die Betriebskontinuität sichergestellt werden soll, bleiben oft unbemerkt, bis es zu einer Störung kommt. Derartige Störungen werden nicht unbedingt durch größere Krisen oder Notfälle verursacht, sondern können auch auf kleinere Vorfälle oder vernachlässigte oder suboptimale Bedingungen zurückzuführen sein. Damit eine fundierte Entscheidungsfindung über Präventions- und Minderungsmaßnahmen gegeben ist, müssen bei der Planung der Betriebskontinuität der NCP die potenziellen Ursachen für Störungen ermittelt werden, die die wesentlichen Funktionen der NCP beeinträchtigen könnten (7). Darüber hinaus sind Mitarbeiter, die im Schichtsystem täglich rund um die Uhr arbeiten, mit besonderen psychosozialen und gesundheitlichen Belastungen konfrontiert, darunter Gesundheitsprobleme infolge von Nachtschichten, arbeitsbedingter Stress und Trennung von der Familie. Wenn diese Probleme nicht bewältigt werden, können sie zu Burnout, hoher Fluktuation und potenziellem Personalmangel beitragen.

(11)

Die Vorkehrungen für die Betriebskontinuität sollten unabhängig von der Art oder Ursache der Störung wirksam bleiben, d. h. ungeachtet dessen, ob sie auf Naturgefahren, Unfälle, technische Ausfälle, menschliches Versagen, Ausfälle der Infrastruktur oder der Versorgung, Personalausfälle in größerem Umfang, vorsätzliche oder böswillige Handlungen, einschließlich Cybervorfälle und hybride Aktivitäten, oder andere Ursachen zurückzuführen sind.

(12)

Durch die Vorbereitung auf mögliche Störungen verbessern die NCP ihre Fähigkeit, schnell und wirksam zu reagieren, wodurch die Dauer und die Auswirkungen destabilisierender Ereignisse minimiert werden. Vorbereitungsmaßnahmen stellen nicht nur sicher, dass der Betrieb innerhalb eines akzeptablen Zeitrahmens wieder aufgenommen werden kann, sondern begrenzen auch negative Auswirkungen für Interessenträger und externe Akteure, die von der Tätigkeit der NCP abhängig sind, und schützen den Auftrag und den Ruf der Organisation.

(13)

Störungen, die sich aus Cybervorfällen ergeben, weisen Unterscheidungsmerkmale auf, die besondere Beachtung verdienen; im Gegensatz zu anderen Bedrohungen der Betriebskontinuität können sie absichtlich erfolgen, sich über vernetzte Systeme ausbreiten und nicht nur die Verfügbarkeit, sondern auch die Integrität oder Vertraulichkeit von Daten und Mitteilungen beeinträchtigen.

(14)

Regelmäßige Schulungen, Übungen und Aktualisierungen sind für eine wirksame Betriebskontinuitätsplanung von grundlegender Bedeutung. Je häufiger ein Betriebskontinuitätsplan praktisch geübt wird, desto besser ist die Organisation vorbereitet, da Übungen hilfreich sind, um Lücken aufzudecken und das Personal mit den Abläufen vertraut zu machen. Gut geschultes Personal, das sich seiner Aufgaben und Verantwortlichkeiten klar bewusst ist, arbeitet in Störfällen effektiver. Ebenso wird durch Einbeziehung der Interessenträger in Übungen erreicht, dass diese die Kommunikationsprotokolle verstehen und wissen, was sie bei realen destabilisierenden Ereignissen erwartet.

(15)

Übungen, Stresstests und tatsächliche Vorfälle liefern wertvolle Erkenntnisse. Damit der Betriebskontinuitätsplan gültig bleibt, muss er regelmäßig aktualisiert werden, um aus Schulungen, Übungen, Stresstests, realen Ereignissen und technologischen Fortschritten gewonnene Erkenntnisse einzuarbeiten.

(16)

Ist die NCP Teil einer Einrichtung, die unter die geltenden Bestimmungen der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates (8) fällt, sollten die aus dem Stresstest gewonnenen Erkenntnisse bei der Umsetzung von Risikomanagementmaßnahmen im Bereich der Cybersicherheit berücksichtigt werden, insbesondere im Hinblick auf die Betriebskontinuität, das Backup-Management, die Wiederherstellung nach einem Notfall und das Krisenmanagement.

(17)

Die Sicherstellung der Betriebskontinuität der für den Katastrophenschutz zuständigen nationalen Behörde geht über das Funktionieren ihrer NCP hinaus. Daher kann diese Empfehlung im Einklang mit Erwägungsgrund 7 des Beschlusses Nr. 1313/2013/EU auch als wertvolle Referenz für die Entwicklung der Betriebskontinuität innerhalb nationaler Organisationen und Katastrophenschutzsysteme dienen.

(18)

Diese Empfehlung sollte umfassend sein und die Vielfalt der Strukturen und Funktionen der NCP in den Mitgliedstaaten und den Teilnehmerstaaten des Unionsverfahrens widerspiegeln. Sie sollte flexibel umgesetzt und an das Mandat, den Kontext, die Umstände und den operativen Rahmen jeder NCP angepasst werden, da jede NCP unterschiedliche Merkmale aufweist, innerhalb eines anderen Rechtsrahmens agiert und mit unterschiedlichen Herausforderungen konfrontiert ist, die möglicherweise maßgeschneiderte Ansätze erfordern, um die Betriebskontinuität sicherzustellen.

(19)	Diese Empfehlung basiert auf dem Ergebnis der Konsultationen mit der von der Kommission im Jahr 2025 eingesetzten Expertengruppe „24/7 Operational Continuity in Disruptive Events“ und soll bestehende bewährte Standards und Leitlinien für die Betriebskontinuität ergänzen (9) —

HAT FOLGENDE EMPFEHLUNG ABGEGEBEN:

1. ADRESSATEN

Diese Empfehlung richtet sich an die zuständigen nationalen Behörden der Mitgliedstaaten und die Teilnehmerstaaten des Unionsverfahrens.

Für die Mitgliedstaaten könnte sie gegebenenfalls auch für andere nationale Krisenzentren und Einrichtungen, die Kapazitäten des Unionsverfahrens verwalten, relevant sein.

2. BEGRIFFSBESTIMMUNGEN

Für die Zwecke dieser Empfehlung bezeichnet der Ausdruck

a)	„zuständige nationale Behörde“ eine von einem Mitgliedstaat oder einem Teilnehmerstaat des Unionsverfahrens (10) im Rahmen des Unionsverfahrens gemäß Artikel 29 des Beschlusses Nr. 1313/2013/EU benannte Behörde;

„nationale Kontaktstelle“ (national contact point, NCP) eine gemäß Artikel 9 Absatz 7 des Beschlusses Nr. 1313/2013/EU und Artikel 3 Absatz 1 des Durchführungsbeschlusses (EU) 2025/704 benannte Kontaktstelle für das ERCC in einem Mitgliedstaat oder einem Teilnehmerstaat des Unionsverfahrens, die rund um die Uhr an sieben Tagen der Woche einsatzbereit ist;

„wesentliche Funktionen“ die Tätigkeiten, Maßnahmen oder Dienste der NCP, die für die Erfüllung ihres Mandats und Auftrags von grundlegender Bedeutung sind und entweder nicht unterbrochen werden dürfen oder innerhalb eines kurzen, vorab festgelegten Zeitrahmens wieder aufgenommen werden müssen. In diesen Leitlinien richtet sich die Einstufung einer Funktion als wesentlich nach der Dringlichkeit, mit der sie nach einer Störung wiederhergestellt werden muss, und nicht allein nach ihrer strategischen, operativen oder institutionellen Bedeutung. Dementsprechend gelten Funktionen von strategischer, operativer oder institutioneller Bedeutung, die Störungen oder längeren Verzögerungen ohne inakzeptable Auswirkungen standhalten können, nicht als wesentliche Funktionen;

d)	„systemrelevantes Personal“ in der NCP tätiges Personal, das systemrelevante Funktionen wahrnimmt oder unterstützt, Personal, das Teil des Teams ist, das für die Bewältigung oder Reaktion auf ein destabilisierendes Ereignis zuständig ist, oder Personal, das beide Funktionen erfüllt;

„systemrelevantes Engpasspersonal“ die Mitglieder des systemrelevanten Personals, deren geringe Anzahl bei Abwesenheit oder Arbeitsunfähigkeit ein Risiko für die Betriebskontinuität darstellt, da sie über die Zertifizierungen, Sicherheitsermächtigungen, Befugnisse, Entscheidungsverantwortung, Zugangsrechte, Kenntnisse, Fachkompetenzen oder Sprachkenntnisse verfügen, die für die Durchführung spezifischer, zur Gewährleistung der Kontinuität einer systemrelevanten Funktion erforderlicher Tätigkeiten notwendig sind;

f)	„Personalengpass“ eine Situation, in der die Kontinuität einer systemrelevanten Funktion von der Verfügbarkeit eines oder mehrerer Mitglieder des systemrelevanten Engpasspersonals abhängt;

„Betriebskontinuität“ die Fähigkeit einer NCP, ihre wesentlichen Funktionen — diese umfassen Tätigkeiten, Maßnahmen oder Dienste — aufrechtzuerhalten, wenn die für diese Funktionen erforderlichen Ressourcen, wie systemrelevantes Personal, eingehende Informationen, Dienstleistungen, Produkte, Betriebsstoffe, Haushaltsmittel, Ausrüstung, Systeme der Informations- und Kommunikationstechnologie (IKT) oder Standortanforderungen, nicht verfügbar, beschädigt, nicht nutzbar oder unterbrochen werden;

h)	„Betriebskontinuitätsplan“ oder „Plan“ entweder ein einziges Dokument oder eine Sammlung von Verfahren für die Betriebskontinuität der NCP;

i)	„destabilisierendes Ereignis“ einen Vorfall oder Umstand, der die Ausführung einer wesentlichen Funktion der NCP verhindert oder erheblich verzögert;

j)	„Wiederherstellung“ die Rückführung der operativen Fähigkeiten, Einrichtungen, Systeme und Ressourcen der NCP nach einer Störung.

3. EMPFEHLUNGEN FÜR DIE BETRIEBSKONTINUITÄT DER NCP

3.1. Grundlegende Empfehlungen

Die NCP sollte einen kohärenten und umfassenden Betriebskontinuitätsplan oder eine Reihe schriftlich festgelegter Verfahren entwickeln, die alle Aspekte der Betriebskontinuität umfassen. Abschnitt 3.2 enthält weitere Empfehlungen zum Betriebskontinuitätsplan.

Mit der Betriebskontinuitätsplanung soll erreicht werden, dass die NCP bei destabilisierenden Ereignissen ihre wesentlichen Funktionen unter den gegebenen Einschränkungen erfüllen kann. Daher sollte bei der Betriebskontinuitätsplanung von der Annahme ausgegangen werden, dass destabilisierende Ereignisse eintreten werden und dass die normalen Betriebsbedingungen möglicherweise nicht sofort oder in manchen Fällen überhaupt nicht wiederhergestellt werden können. Die NCP sollte in der Lage sein, wesentliche Funktionen unter den gegebenen Einschränkungen aufrechtzuerhalten, indem sie alternative Verfahren, alternative Einrichtungen, alternative Kommunikationskanäle und reduzierte Ressourcen nutzt, bis die volle Funktionsfähigkeit wiederhergestellt ist.

Bei destabilisierenden Ereignissen sollten die Ressourcen vorrangig für die Erhaltung der wesentlichen Funktionen der NCP eingesetzt werden. Dies kann bedeuten, dass nicht wesentliche Funktionen möglicherweise nicht aufrechterhalten werden.

Mit den Vorkehrungen für die Betriebskontinuität soll erreicht werden, dass die Erhebung, Analyse, Validierung und Verbreitung der operativen Informationen, die erforderlich sind, um die Lageerfassung der NCP aufrechtzuerhalten und die Entscheidungsfindung während der gesamten Störung zu unterstützen, nicht unterbrochen wird.

Geschultes Personal ist die wichtigste Ressource für die Sicherstellung der Betriebskontinuität. Der Betriebskontinuitätsplan und die damit verbundenen Vorkehrungen und Backup-Maßnahmen sind hilfreich, doch hängt die Betriebskontinuität letztlich davon ab, ob das Personal in der Lage ist, Entscheidungen zu treffen und die entsprechenden Maßnahmen unter Druck umzusetzen.

Die Betriebskontinuitätsplanung sollte auf einem gründlichen Verständnis der administrativen und operativen Vorkehrungen der Organisation, zu der die NCP gehört, basieren. Um dies zu erreichen, sollte die abteilungsübergreifende Zusammenarbeit aktiv gefördert und erleichtert werden.

Die NCP sollte mögliche Ursachen für Störungen ihrer Tätigkeiten ermitteln. Der Schwerpunkt der Bewertung sollte auf dem destabilisierenden Potenzial solcher Störungen für die Tätigkeiten der NCP sowie auf der Entwicklung eines Bewältigungsplans liegen, um die Kontinuität wesentlicher Funktionen sicherzustellen.

Bei der Bewertung von Bedrohungen für die Betriebskontinuität sollte besonderes Augenmerk auf zeitsensible Verfahren und Engpässe gelegt werden, darunter

a)	einzelne Informationsquellen oder Informationen, die nur einer begrenzten Gruppe von Personen bekannt sind, einschließlich Verschlusssachen,

b)	einzigartige Ausrüstung oder einzelne Erbringer von Dienstleistungen, von denen wesentliche Funktionen abhängen,

c)	einzelne Kommunikationskanäle, Kontaktpersonen oder Entscheidungsträger,

d)	Verfügbarkeit von systemrelevantem Engpasspersonal.

Engpässe bei Personal, Einrichtungen, Kommunikation, IKT-Systemen, Logistik und Entscheidungsfindung sollten ermittelt und beseitigt werden. Wo diese unvermeidlich sind, sollten geeignete Präventions- und Minderungsmaßnahmen festgelegt und getestet werden, einschließlich der in Abschnitt 3.9 vorgeschlagenen Maßnahmen.

10.

Bei jeder Störung, jeder Übung und jedem Stresstest sollten Erkenntnisse ermittelt werden, die zu Verbesserungen der Vorkehrungen für die Betriebskontinuität führen und die Resilienz im Laufe der Zeit stärken.

11.

Im Hinblick auf die Betriebskontinuität und die Stresstests der NCP im Rahmen des Unionsverfahrens sollten die folgenden nicht erschöpfenden Kategorien von destabilisierenden Ereignissen berücksichtigt werden. Anhang I enthält eine Beschreibung der einzelnen Kategorien.

a)	Nichtverfügbarkeit von Räumlichkeiten

b)	Unterbrechung der Stromversorgung

c)	Störung oder Ausfall von IKT-Systemen

d)	großflächige Personalausfälle oder das Fehlen von systemrelevantem Engpasspersonal

12.

Die NCP sollte sicherstellen, dass sie in der Lage ist, ihren Betrieb fortzusetzen, falls eines oder mehrere der in Absatz 11 aufgeführten Ereignisse die Betriebskontinuität gefährden.

3.2. Betriebskontinuitätsplan der NCP

13.

Jede NCP sollte einen kohärenten, umfassenden und schriftlichen Betriebskontinuitätsplan oder eine entsprechende Reihe von schriftlich festgelegten Verfahren entwickeln, die alle Aspekte der Betriebskontinuität abdecken, einschließlich der Bewältigung von Störungen und Systematisierung der Bewältigungsmaßnahmen, wie z. B. Minderungsmaßnahmen und Vereinbarungen für Soforteinsätze.

14.

Der Betriebskontinuitätsplan sollte alternative Vorkehrungen für alle wesentlichen Verfahren vorsehen, insbesondere für zeitsensible Verfahren, um sicherzustellen, dass diese bei einem Ausfall der Primärressourcen fortgesetzt werden können. Backup- und alternative Vorkehrungen sollten vollkommen unabhängig sein. Sie sollten sich nicht auf dieselben Ressourcen wie dasselbe Gebäude, dieselbe Stromquelle, denselben Kommunikationsweg, dieselbe IKT-Plattform oder denselben Dienstleister stützen. Sie sollten auch keine neuen Abhängigkeiten schaffen, die weitere Risiken für Störungen bergen könnten.

15.

Der Betriebskontinuitätsplan sollte regelmäßig unter realistischen Bedingungen geübt werden. Pläne, die nicht durch Schulungen, Übungen oder Stresstests validiert wurden, sollten nicht als operativ betrachtet werden. Die Betriebskontinuitätsplanung sollte regelmäßige obligatorische Schulungen für systemrelevantes Personal und regelmäßige Tests und Übungen vorsehen, die die Aktivierung des Plans sowie seine systematische Überprüfung und Aktualisierung umfassen, um sicherzustellen, dass alle betroffenen Mitarbeiter und Interessenträger über die Aktualisierungen informiert und darin geschult sind.

16.

Je nach Struktur der Organisation sollte die NCP Personal, das nicht direkt mit wesentlichen Funktionen befasst ist, aber über das Fachwissen oder die Kenntnisse verfügt, die für ein allgemeines Verständnis der Funktionen der Organisation erforderlich sind, in die Entwicklung des Betriebskontinuitätsplans einbeziehen.

17.

Die NCP sollten in Erwägung ziehen, innerhalb ihrer Organisation eine Koordinierungsfunktion für Betriebskontinuität zu benennen, die speziell für den Betriebskontinuitätsplan zuständig ist. Je nach Größe und Struktur der NCP sollte die Koordinierungsfunktion für Betriebskontinuität von einem einzigen Koordinator, von einem speziellen Team, in dem Vertreter der einschlägigen operativen Bereiche zusammenkommen, oder durch andere an den nationalen Kontext angepasste Vorkehrungen wahrgenommen werden. Wenn eine Gruppe eingerichtet wird, sollten die Teammitglieder über Fachwissen in den für die Umsetzung des Plans relevanten operativen Bereichen wie IKT-Systeme, alternative Räumlichkeiten, Personalressourcen oder Logistik verfügen. Die Aufgabe der Koordinierungsfunktion für Betriebskontinuität sollte sein, für die einheitliche Umsetzung, regelmäßige Überprüfung und Aktualisierung des Betriebskontinuitätsplans zu sorgen, einschließlich der Überprüfung der Ressourcen und Vorkehrungen, auf die sich der Plan stützt.

3.3. Bestimmung der wesentlichen Funktionen

18.

Die NCP sollte ihre wesentlichen Funktionen ermitteln und ein Verzeichnis dieser Funktionen erstellen und fortlaufend aktualisieren. Zusätzlich zu den auf das Unionsverfahren bezogenen Funktionen wie Verwaltung von Hilfeersuchen und Bereitstellung und Einsatz von Bewältigungskapazitäten im Rahmen des Unionsverfahrens muss die NCP möglicherweise auch die Kontinuität anderer für die Organisation wesentlicher Funktionen sicherstellen. Beispiele hierfür sind die Abstimmung mit nationalen oder regionalen Behörden, die Zusammenarbeit mit anderen internationalen Organisationen, die Ausgabe öffentlicher Warnungen und die Unterstützung der Entscheidungsfindung auf höherer Ebene.

Für jede wesentliche Funktion sollte die NCP operative Leistungsziele festlegen, in denen die maximal zulässige Verschlechterung der Dienste während destabilisierender Ereignisse definiert wird. Diese Ziele sollten gegebenenfalls die maximal zulässige Unterbrechungsdauer, die Wiederherstellungszeiten, den akzeptablen Verlust operativer Informationen, die Mindestpersonalausstattung, die Verfügbarkeit von Kommunikation und die Entscheidungsfähigkeit umfassen. Sie sollten als Richtschnur für die Konzeption des Betriebskontinuitätsplans dienen und die Grundlage für die Evaluierung der Leistung von Stresstests bilden. Anhang II enthält Beispiele für operative Leistungsziele.

19.

Es empfiehlt sich, die wesentlichen Funktionen nach ihrer Priorität oder der Dringlichkeit, mit der sie wieder aufgenommen werden müssen, einzustufen.

3.4. Betriebsprozessanalyse und Backup-Ressourcen

20.

Auf der Grundlage des Verzeichnisses der wesentlichen Funktionen sollte die NCP eine Betriebsprozessanalyse (Business Process Analysis, BPA) durchführen und Backup-Lösungen entwickeln, um die Kontinuität ihrer wesentlichen Funktionen sicherzustellen. Aus der BPA sollte sich ein umfassendes Verständnis der Arbeitsweise der einzelnen Funktionen ergeben, indem für jede Funktion Folgendes bestimmt wird:

a)	die Aufgaben, aus denen sich die Funktion zusammensetzt;

b)	der Zeitplan und die Abfolge der Aufgaben, einschließlich Dauer und zeitsensibler Schritte;

c)	wer welche Aufgabe wahrnimmt, einschließlich des erforderlichen Profils, Fachwissens oder der erforderlichen Schulung;

d)	der Informationsfluss, einschließlich der Art und Weise, wie Daten, Anfragen und Ergebnisse zwischen Akteuren und Systemen übertragen werden;

e)	wer das/die Verfahren validiert oder genehmigt;

welche Ressourcen eingesetzt werden und welche Inputs externer Akteure, z. B. privater Unternehmen, die Energie liefern oder Sicherheitsdienste erbringen, erforderlich sind, einschließlich Informationen, Datensätzen, Dienstleistungen, Produkten, Betriebsstoffen, Haushaltsmitteln, Ausrüstung, IKT-Systemen und Standortanforderungen.. Besondere Aufmerksamkeit sollten dem Geheimhaltungsgrad der Informationen sowie den zu ihrer Verwaltung genutzten Räumen und Geräten zukommen;

g)	welche Outputs sich aus der Funktion ergeben, einschließlich Informationen, spezifischer Produkte oder Dienstleistungen oder Koordinierungs-, Validierungs- oder Autorisierungsmaßnahmen;

h)	welche externe(n) Organisation(en) oder Gruppen von Interessenträgern die Outputs erhalten;

welche Abhängigkeiten und Interdependenzen bestehen, die für den Betrieb von wesentlicher Bedeutung sind, einschließlich Beziehungen und Vereinbarungen mit externen Akteuren wie Behörden anderer Mitgliedstaaten und Teilnehmerstaaten des Unionsverfahrens, Katastrophenschutzpartner, Betreiber wesentlicher Infrastrukturen, Dienstleister, Lieferanten usw., wobei die erwarteten Inputs bzw. Outputs anzugeben sind;

j)	welche Backup-Ressourcen und alternativen Vorkehrungen zur Verfügung stehen.

21.

Die NCP werden gebeten, bei der Durchführung ihrer Betriebsprozessanalyse die Tabelle in Anhang III zu berücksichtigen.

3.5. Empfohlene Verfahren für alternative Einrichtungen und Ausrüstungen

22.

Die NCP sollte sicherstellen, dass sie ihren Betrieb auch dann fortzusetzen kann, wenn ihre Räumlichkeiten, einschließlich wichtiger Ausrüstung, vorübergehend nicht zugänglich oder nicht nutzbar sind.

23.

Primäre und alternative Einrichtungen und vorübergehende Lösungen sollten sicher sein und einen angemessenen Geheimhaltungsgrad aufweisen. Dieser sollte in einem angemessenen Verhältnis zur Art der zu bewältigenden Krisen und zur Sensibilität oder Klassifizierung der behandelten Informationen stehen.

3.6. Empfohlene Verfahren für die Stromversorgung

24.

Die NCP sollte dafür sorgen, dass sie auch bei lokalen oder flächendeckenden Stromausfällen weiterhin arbeiten kann.

25.

Für primäre und alternative Einrichtungen, einschließlich vorübergehend genutzter Einrichtungen, sollten Vorkehrungen für die Stromversorgung bestehen, die resilient sind und über Notstromsysteme verfügen, damit die NCP bei längeren Stromausfällen ihren Betrieb fortsetzen und ihre wesentlichen Funktionen erfüllen kann.

26.

Die für die NCP festgelegten Maßnahmen sollten gegebenenfalls so umgesetzt werden, dass sie mit den gemäß der Verordnung (EU) 2019/941 des Europäischen Parlaments und des Rates (11) erstellten nationalen Plänen zur Risikovorsorge im Elektrizitätssektor und den gemäß der Verordnung (EU) 2017/1938 des Europäischen Parlaments und des Rates (12) zur Gewährleistung der sicheren Gasversorgung erstellten nationalen Präventions- und Notfallplänen sowie mit den bestehenden nationalen Krisenmanagementvorkehrungen im Einklang stehen.

3.7. Empfohlene Verfahren für IKT-Systeme

27.

Die NCP sollte sicherstellen, dass die IKT-Systeme, die ihre wesentlichen Funktionen unterstützen, zuverlässig und resilient sind. Besondere Aufmerksamkeit ist auf folgende Aspekte zu legen:

Kontinuität des Zugangs zu Datenbanken, Dokumenten und E-Mails, einschließlich der Verfügbarkeit aktualisierter Kontaktlisten, Kontinuität der Kommunikation mit dem ERCC und den Mitgliedstaaten und Teilnehmerstaaten des Unionsverfahrens sowie Kontinuität der Verarbeitungs- und Verwaltungssysteme für die Erhebung und Überwachung von Informationen und die Aufzeichnung der ergriffenen Maßnahmen;

Technologieintegration, indem die Kompatibilität und Interoperabilität wesentlicher Systeme mit Ferneinrichtungen und alternativen Standorten sichergestellt wird, einschließlich der Fähigkeit dieser Standorte, sich an das Gemeinsame Kommunikations- und Informationssystem für Notfälle (CECIS) anzuschließen und Verschlusssachen zu bearbeiten, wenn aus der Ferne gearbeitet wird; solche Vorkehrungen sollten durch geeignete Tests überprüft werden;

c)	Informations- und Kommunikationssicherheit, einschließlich der Möglichkeit, Verbindungen für die Übertragung von Verschlusssachen einzurichten und Verschlusssachen sowohl auf nationaler als auch auf internationaler Ebene auszutauschen;

d)	Aufzeichnungen aller Drittanbieter der in der NCP verwendeten Geräte und Software.

28.

Besondere Aufmerksamkeit ist auf Cybervorfälle als eigene Kategorie von IKT-Störungen zu legen. Die NCP sollte die Einrichtung von Koordinierungsprotokollen mit der nationalen Cybersicherheitsbehörde als Teil ihrer umfassenderen Vorkehrungen für die Betriebskontinuität erwägen. Diese Maßnahmen sollten Frühwarnkanäle, gemeinsame Protokolle für die Bewältigung von Sicherheitsvorfällen und die Klärung der Rollen während eines Cybervorfalls, von dem die NCP betroffen ist, umfassen.

3.8. Empfohlene Verfahren für Personalressourcen

29.

Die NCP sollte sicherstellen, dass sie über ausreichend Personal verfügt, um in Situationen eingeschränkter Verfügbarkeit von Personal operativ zu bleiben, und dafür sorgen, dass ihr Personal über die erforderlichen Profile und Kompetenzen verfügt.

30.

Die NCP sollte Folgendes berücksichtigen:

Sicherstellung der Verfügbarkeit von Personal mit den entsprechenden Fähigkeiten und dem entsprechenden Hintergrund, einschließlich Erfahrung im Bereich des Krisenmanagements, und gegebenenfalls mit der für den Umgang mit Verschlusssachen erforderlichen Sicherheitsermächtigung. Sie sollte Mechanismen zur Überprüfung der beruflichen Kompetenzen entwickeln und umsetzen sowie umfassende Einführungs- und Weiterbildungsprogramme bereitstellen, um die Kompetenzen des Personals aufrechtzuerhalten und zu stärken, damit das Personal umfassend darauf vorbereitet ist, wirksam auf Aktivierungen des Unionsverfahrens zu reagieren. Die Schulungen sollten zudem die Prävention von Störungen umfassen, die durch menschliches Versagen oder böswillige Handlungen verursacht werden, einschließlich einer grundlegenden Sensibilisierung für Cybersicherheit und Informationssicherheit, wie etwa für das Risiko, das von Social Engineering ausgeht.

Bereitstellung regelmäßiger Schulungen, um das Personal über die Vorkehrungen für die Betriebskontinuität und über die Nutzung von Ausrüstung und IKT-Systemen an Haupt- und Alternativstandorten auf dem Laufenden zu halten. Die NCP sollte zusätzliche Schulungen für ihr Personal zur Bewältigung langfristiger Katastrophen und Krisen und zu Einsätzen im Rahmen des Unionsverfahrens ins Auge fassen.

Entwicklung von Plänen zur Sicherstellung der Personalrotation bei lang andauernden Notfällen, einschließlich der Verwaltung personeller Zusatzkapazitäten bei Spitzenbelastungen. Die NCP sollte Arbeitsgruppen mit klaren Rollen und Nachfolgeplänen einrichten, um die Koordinierung während Krisen zu verbessern.

d)	Treffen von Transportvorkehrungen, damit systemrelevantes Personal gegebenenfalls den Ort, an dem es zur Erfüllung seiner Aufgaben gebraucht wird, erreichen kann, sei es der primäre Standort, ein alternativer Standort oder eine mobile Einheit.

e)	Implementierung geeigneter Sicherheitsvorkehrungen, um den Schutz der Gesundheit und Sicherheit des Personals sicherzustellen.

Entwicklung von Plänen für die Versorgung des Personals mit Lebensmitteln, Wasser, Unterkunft, Zugang zu Einrichtungen der NCP sowie psychologischer Unterstützung, um dem Personal bei der Bewältigung von Stress und Ermüdung zu helfen. Diese Pläne sollten längere Einsätze in geschlossenen Umgebungen abdecken und die individuellen oder persönlichen Umstände des systemrelevanten Personals, gegebenenfalls einschließlich familiärer Anforderungen, berücksichtigen.

g)	Festlegung von Bestimmungen zum Schutz von Daten und Privatsphäre, damit bei der Kontinuitätsplanung der Schutz personenbezogener Daten während und nach Vorfällen eingehalten wird.

31.

Systemrelevante Funktionen sollten durch geeignete Regelungen für die Betriebskontinuität, strukturierte und systematische gegenseitige Schulungen und regelmäßige Übungen unterstützt werden, damit sie von mehreren geschulten Personalmitgliedern unter Vermeidung von Personalengpässen durchgeführt werden können. Keine einzige wesentliche Funktion sollte ausschließlich von der Verfügbarkeit eines einzelnen Mitarbeiters abhängen.

3.9. Präventions- und Minderungsmaßnahmen für jede Kategorie von destabilisierenden Ereignissen

32.

Der folgende Abschnitt enthält eine indikative Liste empfohlener Präventions- und Minderungsmaßnahmen für jede Kategorie von destabilisierenden Ereignissen. Diese Maßnahmen können zwar parallel umgesetzt werden, doch sollte jeder Mitgliedstaat die am besten geeigneten und wirksamsten Optionen auswählen, wobei er das Mandat seiner NCP, den Kontext, die Umstände, die Kapazitäten, die Struktur seines operativen und rechtlichen Rahmens sowie die potenziellen Ursachen von Störungen, die die wesentlichen Funktionen seiner NCP beeinträchtigen könnten, berücksichtigt. Die Liste ist nicht so zu verstehen, dass alle Punkte in vollem Umfang gleichzeitig umgesetzt werden müssen, da die Durchführung einer Maßnahme in einigen Fällen mit der Anwendung einer anderen Maßnahme kollidieren oder übermäßige Investitionen erfordern könnte.

33.

Empfohlene Präventions- und Minderungsmaßnahmen, um die Nichtverfügbarkeit von Räumlichkeiten zu beheben:

a)	geografische Verteilung der NCP auf zwei oder mehr geografisch getrennte Zentren, die gleichzeitig operativ sind und sich gegenseitig als Ausweichstandort und bei Überlastung Unterstützung leisten;

b)	Umzug in alternative Räumlichkeiten, die von der Behörde der NCP verwaltet werden;

c)	vorab organisierte Beförderung von systemrelevantem Personal zu alternativen Räumlichkeiten (auch bei widrigen Witterungsverhältnissen);

d)	Fernarbeit (einschließlich Flexibilität bei Aufgaben, die außerhalb des physischen Standorts der NCP ausgeführt werden können);

e)	mobile Führungs- und Kontrolleinheiten, die vorübergehend das systemrelevante Personal der NCP aufnehmen könnten;

f)	Aktivierung von Verwaltungsvorkehrungen mit anderen Behörden über die Nutzung ihrer Räumlichkeiten;

g)	Dezentralisierung.

34.

Empfohlene Präventions- und Minderungsmaßnahmen für den Fall der Unterbrechung der Stromversorgung:

a)	Aktivierung von Generatoren und unterbrechungsfreien Stromversorgungen (USV);

b)	Vorkehrungen für die vorrangige Versorgung mit Kraftstoffen und Vereinbarungen mit Anbietern;

c)	Energieautonomie und alternative Energiequellen für wesentliche Funktionen;

d)	Maximierung der verfügbaren Leistungskapazität;

e)	Umzug in alternative Räumlichkeiten, die von der Behörde der NCP verwaltet werden und über eine garantierte Stromversorgung verfügen;

f)	Fernarbeit von einem Gebäude mit garantierter Stromversorgung aus;

g)	Mobile Führungs- und Kontrolleinheiten, die in Bezug auf Strom autark sind;

h)	Aktivierung von Verwaltungsvorkehrungen mit anderen Behörden über die Nutzung ihrer Räumlichkeiten mit garantierter Stromversorgung;

i)	Dezentralisierung.

35.

Empfohlene Präventions- und Minderungsmaßnahmen für den Fall von Störungen oder Ausfällen von IKT-Systemen:

a)	Redundanz;

b)	regelmäßige und sichere Datensicherungen, einschließlich Off-Site- und Offline-Kopien;

c)	alternative IKT-Systeme, -Plattformen und -Kommunikationskanäle;

d)	IKT-Notfallteams oder technische Bereitschaftsdienste;

e)	Verfahren für die Bewältigung von Cybervorfällen in Abstimmung mit der nationalen Cybersicherheitsbehörde;

f)	Offline-Kopien wesentlicher Kontaktlisten, wichtiger Verfahren und operativer Dokumente;

g)	mobile Führungs- und Kontrolleinheiten mit Zugang zu Primär- und Backup-IKT-Systemen;

h)	Umzug in alternative Räumlichkeiten, die von der Behörde der NCP verwaltet werden und Zugang zu Primär- und Backup-IKT-Systemen haben;

i)	Aktivierung von Verwaltungsvorkehrungen mit anderen Behörden über die Nutzung ihrer Räumlichkeiten mit Zugang zu IKT-Systemen.

36.

Empfohlene Präventions- und Minderungsmaßnahmen für den Fall von großflächigen Personalausfällen und bei Fehlen von systemrelevantem Engpasspersonal:

a)	Überstundenmanagement (kurzfristige Lösung);

b)	Neuzuweisung von Aufgaben an verfügbares Personal;

c)	ein vorab festgelegter Pool von geschulten internen Mitarbeitern, die kurzfristig verfügbar sind;

d)	Priorisierung der Personaleinstellung;

e)	Investitionen in die Bindung von systemrelevantem Personal;

f)	Unterstützung der Familien des systemrelevanten Personals;

g)	Verhinderung von Personalengpässen durch Delegierung von Befugnissen und Förderung der geteilten Führungsverantwortung.

37.

Anhang IV enthält technische Leitlinien für die Umsetzung der einzelnen aufgeführten Maßnahmen.

3.10. Betriebskontinuität im Falle der Aktivierung des Unionsverfahrens

38.

Um die operativen Abläufe des Unionsverfahrens zu verbessern und die Betriebskontinuität sicherzustellen, werden folgende Maßnahmen empfohlen:

Benennung des nationalen TESTA-Koordinators des Landes, wenn das Land Zugang zu den transeuropäischen Telematikdiensten zwischen Verwaltungen (TESTA) oder zu TESTA-EIRIS (TESTA-Nachfolger) hat. Es ist sicherzustellen, dass die CECIS-Kontaktstelle des Landes über die Kontaktdaten des nationalen TESTA-Koordinators des Landes verfügt und diese Daten auf dem neuesten Stand gehalten werden. Die CECIS-Kontaktstelle des Landes sollte den Betriebskontinuitätsplan seines lokalen/nationalen Zugangs zum TESTA-Gateway im Land kennen und verstehen.

b)	Entwicklung von Protokollen, um bei Hilfeersuchen über das Unionsverfahren zwischen Ausfällen der TESTA-Konnektivität und Ausfällen der CECIS-Plattform zu unterscheiden und die Stellung von Hilfeersuchen im Falle einer TESTA-Störung im Land der NCP zu ermöglichen.

Gegebenenfalls Prüfung von Vorkehrungen für die gegenseitige operative Unterstützung mit anderen nationalen Behörden, um sicherzustellen, dass die NCP ihre wesentlichen Funktionen weiterhin erfüllen kann, falls eine Störung die Fähigkeit zur Aufrechterhaltung der Betriebskontinuität der NCP erheblich beeinträchtigt. Insbesondere sollten an solchen Vorkehrungen Behörden beteiligt sein, die Zugang zu TESTA haben, damit die NCP von alternativen Räumlichkeiten aus auf CECIS zugreifen kann.

Gegebenenfalls Erkundung der Möglichkeit, bilaterale Verwaltungsvorkehrungen für die gegenseitige operative Unterstützung mit Nachbarländern zu schließen, die Mitgliedstaaten oder Teilnehmerstaaten des Unionsverfahrens sind, für den Fall, dass eine Störung die Fähigkeit der NCP zur Aufrechterhaltung des Betriebskontinuität erheblich beeinträchtigt und die unter Buchstabe b genannten Vorkehrungen nicht möglich sind. Die entsprechenden Vorkehrungen sollten es der NCP ermöglichen, die Räumlichkeiten dieser Länder zu nutzen und auf das TESTA-Netz zuzugreifen.

e)	Organisation von Schulungen für neues Personal in der Nutzung von CECIS und Planung regelmäßiger Übungen für das Personal.

Auf der Grundlage der nationalen Katastrophenschutzstruktur sollte der Betriebskontinuitätsplan Vorkehrungen enthalten, die eine nahtlose Kommunikation zwischen der NCP und anderen einschlägigen Behörden, die gegebenenfalls befugt sind, die Aktivierung des Unionsverfahrens zu beantragen, sicherstellen.

g)	Im Betriebskontinuitätsplan sollten diejenigen nationalen Interessenträger berücksichtigt werden, die Ressourcen des Unionsverfahrens besitzen und verwalten, welche nicht der Behörde der NCP unterstehen, aber auf Ersuchen über das Unionsverfahren für Einsätze zur Verfügung gestellt werden könnten.

39.

Der Betriebskontinuitätsplan sollte an die Empfehlung der Kommission vom 29. November 2024 zu den EU-Leitlinien zur Unterstützung durch den Gastgeberstaat (13) angepasst werden, insbesondere in Bezug auf die Aktivierung des Unionsverfahrens durch die nationalen NCP und ihre Rolle bei der Unterstützung durch den Gastgeberstaat (14).

3.11. Aktivierung des Betriebskontinuitätsplans

40.

Je nach Art und Ausmaß der Störung sollten im Betriebskontinuitätsplan der NCP verschiedene Aktivierungsstufen festgelegt werden, einschließlich einer teilweisen Aktivierung, wenn die NCP ihren Betrieb von ihren Haupträumlichkeiten aus nach angepassten Verfahren fortsetzt, und einer vollständigen Aktivierung im Fall, dass ein Umzug in alternative Räumlichkeiten oder andere alternative Vorkehrungen erforderlich sind.

41.

Die Kriterien, Aktivierungsstufen und Auslöser sowie die Behörde, die befugt ist, die Aktivierung zu genehmigen, sollten auf nationaler Ebene im Einklang mit der Struktur und dem operativen Rahmen der einzelnen NCP festgelegt werden. Anhang V enthält ein anschauliches Beispiel für einen Aktivierungsablauf.

42.

Aktivierungsverfahren sollten die rechtzeitige Aktivierung von Kontinuitätsvorkehrungen als Reaktion sowohl auf tatsächliche als auch auf erwartete Störungen ermöglichen, einschließlich Ereignissen außerhalb der normalen Arbeitszeiten und Ereignissen, für die eine vorherige Warnung verfügbar ist.

43.

Im Fall, dass ein Vorfall die Betriebskontinuität der NCP unterbricht und die Aktivierung ihres Betriebskontinuitätsplans auslöst, sollte die NCP in Erwägung ziehen, das ERCC zu unterrichten.

3.12. Schulungen, Übungen und regelmäßige Tests

44.

Betriebskontinuitätspläne sollten regelmäßig trainiert, geübt und getestet werden. Es wird empfohlen, regelmäßige Sensibilisierungs- und Informationsveranstaltungen sowie Schulungen und Übungen zu den Kontinuitätsplänen vorzusehen. Andere regelmäßige Schulungen, wie z. B. Einführungsschulungen für neues Personal, sollten ebenfalls die erforderlichen Elemente des Betriebskontinuitätsplans umfassen. Auch sollte die Teilnahme externer Interessenträger, die von einer Unterbrechung der Tätigkeiten der NCP betroffen sein könnten, bei regelmäßigen gezielten Sensibilisierungs- und Informationsveranstaltungen sowie bei Übungen in Betracht gezogen werden.

45.

Der Betriebskontinuitätsplan sollte mindestens einmal jährlich getestet werden. Häufigere Tests sollten erwogen werden, wenn dies durch die Struktur, den operativen Kontext oder das Risikoprofil der NCP gerechtfertigt ist.

3.13. Wiederherstellung

46.

Sobald die negativen Auswirkungen des destabilisierenden Ereignisses abgemildert wurden, sollte die NCP die schrittweise Rückkehr zum Normalbetrieb als gesonderte Phase der Betriebskontinuität behandeln: Die Wiederherstellung ist die Phase, in der die NCP von den Vorkehrungen für die Betriebskontinuität wieder in den normalen Betrieb übergeht, einschließlich der Wiederaufnahme wichtiger (aber nicht wesentlicher) Funktionen, die möglicherweise vorübergehend ausgesetzt wurden.

47.

Der Betriebskontinuitätsplan sollte die Bedingungen für die Einleitung der Wiederherstellung festlegen, die Behörde benennen, die befugt ist, den Übergang zum Normalbetrieb zu genehmigen, und die Schritte festlegen, die für eine sichere Rückkehr zum Normalbetrieb erforderlich sind.

48.

In der Wiederherstellungsphase sollten folgende Punkte berücksichtigt werden:

Überprüfung der Bedingungen für die Wiederherstellung. Vor dem Übergang zum Normalbetrieb sollte die NCP prüfen, ob das zugrunde liegende destabilisierende Ereignis behoben oder ausreichend abgemildert wurde, ob die primären Räumlichkeiten, IKT-Systeme und Kommunikationskanäle wieder voll operativ sind und ob die Integrität der Datenbanken und Dokumente überprüft wurde. Besondere Aufmerksamkeit sollte den Daten gelten, die während der Störung repliziert wurden, um den Verlust von Informationen zu vermeiden, die während der laufenden Vorkehrungen für die Betriebskontinuität generiert wurden.

Schrittweise Rückführung der wesentlichen Funktionen. Wesentliche Funktionen sollten nicht alle auf einmal zurückgeführt werden. Die NCP sollte erwägen, sie in umgekehrter Reihenfolge ihrer Priorität zurückzuführen, beginnend mit denjenigen, bei denen eine kurze Unterbrechung während der Rückführung am ehesten zu tolerieren ist, während die Funktionen mit höchster Priorität bei laufenden Kontinuitätsvorkehrungen aufrechterhalten werden sollten, bis sich die normale Umgebung als stabil erwiesen hat. Während der Rückführung sollte parallel vorgegangen werden, um das Risiko eines Kaskadenversagens zu verringern.

Wiederaufnahme wichtiger Funktionen. Nicht wesentliche Funktionen, die während der Störung vorübergehend ausgesetzt wurden, sollten erst wieder aufgenommen werden, nachdem sich bestätigt hat, dass die wesentlichen Funktionen unter normalen Bedingungen stabil sind. Die Reihenfolge und das Tempo der Wiederaufnahme sollten an die Verfügbarkeit des Personals angepasst werden, wobei zu berücksichtigen ist, dass Vorkehrungen für die Betriebskontinuität häufig die Arbeitsbelastung und die Ermüdung des Personals erhöhen.

d)	Prüfung auf zusätzliche Schwachstellen. Die NCP sollte sich vor der Rückkehr zum Normalbetrieb vergewissern, dass die Vorkehrungen für die Betriebskontinuität keine zusätzlichen Schwachstellen geschaffen haben.

49.

Die NCP sollten zudem folgende Tätigkeiten durchführen:

a)	Nachbesprechung im Anschluss an das Ereignis. Um herauszufinden, was funktioniert hat und was nicht, sollte die NCP eine Nachbesprechung anberaumen, an der alle Personalkategorien, die an der Bewältigung teilgenommen haben, beteiligt sind.

Dokumentation nach der Maßnahme. Die NCP sollte ein strukturiertes Nachbereitungsdokument erstellen, in dem die Abfolge der Ereignisse, die Aktivierung der Vorkehrungen für die Betriebskontinuität, die Ausführung wesentlicher Funktionen, die festgestellten Lücken und die ermittelten Erkenntnisse zusammengefasst werden.

Einbeziehung der gewonnenen Erkenntnisse in den Betriebskontinuitätsplan. Nach jedem destabilisierenden Ereignis, das die Aktivierung des Betriebskontinuitätsplans auslöst, sollte die NCP einen festen Zeitrahmen für die Aktualisierung des Plans festlegen, damit die ermittelten Erkenntnisse eingearbeitet werden, bevor sie aus dem operativen Speicher verschwinden. Die NCP sollte daher ein Verfahren für die Nachverfolgung festgestellter Mängel und Abhilfemaßnahmen sowie gegebenenfalls für die erneute Prüfung der aktualisierten Maßnahmen festlegen. Gegebenenfalls sollten die gewonnenen Erkenntnisse auch in Verbesserungen der normalen Tätigkeiten der NCP übersetzt werden.

3.14. Kommunikationsstrategie

50.

Ein effizientes Management destabilisierender Ereignisse erfordert Kommunikation, und jede NCP sollte eine solide Kommunikationsstrategie entwickeln, in der die Zuständigkeiten der NCP für die allgemeine Kommunikation und die Krisenkommunikation anerkannt werden. Diese Strategie sollte als Richtschnur für die Entscheidungen und Maßnahmen der NCP in Bezug auf den Informationsaustausch bei Störungen dienen und sicherstellen, dass alle beteiligten oder betroffenen Parteien die erforderlichen Informationen erhalten und gegebenenfalls entsprechend handeln können, was dazu beiträgt, den Ruf der Organisation zu schützen und das Vertrauen aufrechtzuerhalten. Anhang VI enthält Vorschläge für Punkte, die von der NCP bei der Entwicklung einer soliden Kommunikationsstrategie zu berücksichtigen sind.

4. EMPFEHLUNGEN FÜR ORGANISATION UND DURCHFÜHRUNG VON STRESSTESTS

51.

Die Kommission empfiehlt, die NCP im Rahmen des Unionsverfahrens Stresstests zu unterziehen. Dieser Abschnitt enthält Leitlinien für die Gestaltung und Bewertung eines Stresstests.

4.1. Zweck und Ziele

52.

Zweck des Stresstests sollte sein, die Fähigkeit der NCP zu bewerten, ihre wesentlichen Funktionen unter destabilisierenden Bedingungen weiterhin auszuüben. Zu diesem Zweck sollte der Stresstest in Form einer begrenzten Übung durchgeführt werden, mit der bestehende Vorkehrungen für die Betriebskontinuität und die Erfüllung bestimmter wesentlicher Funktionen der NCP unter destabilisierenden Bedingungen bewertet werden, unter anderem durch den Test sowohl primärer als auch alternativer Ressourcen.

53.

Mit dem Stresstest sollten die folgenden übergeordneten Ziele verfolgt werden:

a)	Überprüfung, Aktualisierung und Validierung des Betriebskontinuitätsplans sowie Bewertung des Fachwissens, der Ausrüstung und der Vorkehrungen der NCP für die Betriebskontinuität,

b)	Verbesserung des Verständnisses der Prioritäten und Einschränkungen und Veränderung der Wahrnehmung in Bezug auf die Betriebskontinuität der NCP,

c)	Ermittlung von Schwachstellen, Lücken, Engpässen und Abhängigkeiten sowie von Möglichkeiten, wie der Betriebskontinuitätsplan und die Ressourcen für die Aufrechterhaltung wesentlicher Funktionen sowie die entsprechenden Schulungen, Ausrüstungen und Vorkehrungen der NCP verbessert werden können,

d)	Bewertung der Fähigkeit des systemrelevanten Personals der NCP auf verschiedenen Ebenen, einschließlich der Führungsebene, seine Aufgaben und Zuständigkeiten wahrzunehmen,

e)	Bewertung der Koordinierung und Kommunikation innerhalb der Organisation und mit externen Partnern unter destabilisierenden Bedingungen.

54.

Für die Planung des Stresstests wird empfohlen, spezifische Ziele für den Stresstest zu formulieren, die messbar und auf die zu testenden wesentlichen Funktionen abgestimmt sind.

55.

Der Stresstest sollte nicht darauf abzielen, Bedrohungen zu ermitteln, die zu Vorfällen führen könnten, die das normale Funktionieren der NCP stören könnten.

4.2. Umfang

56.

Im Rahmen des Stresstests sollte Folgendes ermittelt werden:

a)	die spezifischen Ziele des Stresstests,

b)	die zu bewertenden wesentlichen Funktionen,

c)	die Art und Dauer der Störung, die die Betriebskontinuität beeinträchtigt,

d)	die eingesetzten Ressourcen, einschließlich des Personals und seiner Aufgaben, Räumlichkeiten, Ausrüstung und IKT-Systeme,

e)	der Grad der Einbeziehung externer Interessenträger.

4.3. Szenario

57.

Ein szenariobasierter Ansatz sollte die Folgen von Vorfällen (Auslösern) abdecken, die zu Betriebsunterbrechungen führen und daher den Betriebskontinuitätsplan der NCP auslösen können. Es wird empfohlen, verschiedene Szenarien zu üben und ihre Komplexität zu variieren, um die Organisation auf eine Reihe möglicher Ergebnisse vorzubereiten. Es ist darauf zu achten, dass die Szenarien anspruchsvoll, aber realistisch sind, um aussagekräftige Einblicke in die Wirksamkeit des Betriebskontinuitätsplans zu geben. Anhang VII enthält zwei Beispiele für Szenarien.

58.

Den NCP wird empfohlen, die folgende nicht erschöpfende Liste von Auslösern für die Aktivierung des Betriebskontinuitätsplans der NCP zu verwenden: Nichtverfügbarkeit von Räumlichkeiten (1), Unterbrechung der Stromversorgung (2), Störung oder Ausfall von IKT-Systemen (3) und großflächige Personalausfälle und Fehlen von systemrelevantem Engpasspersonal (4).

a)	Auslöser 1: Nichtverfügbarkeit von Räumlichkeiten. Das Gebäude, in dem die NCP untergebracht ist, hat physische Schäden erlitten, ist nicht erreichbar oder wurde evakuiert. Aufgrund dieser Umstände ist es auf unbestimmte Zeit nicht nutzbar.

Auslöser 2: Unterbrechung der Stromversorgung. Aufgrund einer Störung im Stromnetz ist das Gebäude, in dem die NCP tätig ist, ohne Strom. Die Stromunterbrechung dauert länger als die Betriebszeit des Notstromgenerators der NPC, bevor der Tank wieder befüllt werden muss. Ist die genaue Betriebszeit des Generators mit einer Tankfüllung nicht bekannt, muss die Unterbrechung als zeitlich unbestimmt behandelt werden.

Auslöser 3: Störung oder Ausfall von IKT-Systemen. Aufgrund eines Ausfalls des IKT-Systems können die Software oder Anwendung(en) der NCP nicht effektiv funktionieren. Der Ausfall verhindert zudem den Zugang zu wesentlichen Datenbanken und setzt die IKT-Systeme für einen unbestimmten Zeitraum außer Betrieb.

Auslöser 4: Großflächige Personalausfälle und Fehlen von systemrelevantem Engpasspersonal. Ein erheblicher Teil des Personals ist plötzlich außerstande, seine Aufgaben zu erfüllen. Dieser Mangel könnte den Ausfall von Mitgliedern des systemrelevanten Engpasspersonals einschließen und zu Verzögerungen oder Unterbrechungen des Betriebs führen. Es wird davon ausgegangen, dass die Nichtverfügbarkeit so lange andauert, dass die Überlastungskapazität des verbleibenden Personals überschritten wird.

59.

Bei Stresstests sollten schrittweise mehrere destabilisierende Ereignisse kombiniert werden, um zu bewerten, ob die NCP wesentliche Funktionen bei Kaskadenversagen oder kombinierten Störungen, die mehrere Ressourcen gleichzeitig betreffen, aufrechterhalten kann.

4.4. Teilnehmer

60.

Es wird empfohlen, die Teilnehmer im Einklang mit den festgelegten Zielen, wesentlichen Funktionen und dem Szenario des Stresstests auszuwählen.

4.5. Evaluierung, Ermittlung der gewonnenen Erkenntnisse und Umsetzung von Verbesserungen

61.

Bei der Planung des Stresstests ist es ratsam, ein Evaluierungssystem einzurichten. Dies dient dazu, Lücken und verbesserungswürdige Bereiche im Betriebskontinuitätsplan zu ermitteln und gleichzeitig den Gesamterfolg der Übung zu bewerten. Es bildet zudem die Grundlage für die künftige Planung und Schulung auf dem Gebiet der Betriebskontinuität der NCP.

62.

Es wird empfohlen, das Evaluierungsformat sowohl nach realen Ereignissen als auch nach Übungen oder Schulungsmaßnahmen, einschließlich Stresstests, zu systematisieren. Den NCP wird empfohlen, für den Stresstest das Evaluierungsschema in Anhang VIII zu verwenden. In diesem Evaluierungsschema wird vorgeschlagen, die Betriebskontinuität unter zwei sich ergänzenden Aspekten zu bewerten:

a)	Einhaltung des Betriebskontinuitätsplans und

b)	Aufrechterhaltung wesentlicher Funktionen und Erfüllung vorab festgelegter Leistungsziele.

63.

Darüber hinaus soll die Tabelle in Anhang IX den NCP als Hilfe dienen, um die Evaluierung zu erstellen und die gewonnenen Erkenntnisse und vorgeschlagenen Verbesserungen zu ermitteln. Anhang X enthält eine Vorlage für einen Fragebogen, mit dem Rückmeldungen von Teilnehmern eingeholt werden können.

64.

Die Mitgliedstaaten und die Teilnehmerstaaten des Unionsverfahrens werden ersucht, dem ERCC nach Durchführung eines Stresstests ihrer NCP nicht sensible gewonnene Erkenntnisse und Verbesserungsvorschläge zu übermitteln.

Brüssel, den 29. Oktober 2026

Für die Kommission

Hadja LAHBIB

Mitglied der Kommission

(1) ABl. L 347 vom 20.12.2013, S. 924, ELI: http://data.europa.eu/eli/dec/2013/1313/oj.

(2) Durchführungsbeschluss (EU) 2025/704 der Kommission vom 10. April 2025 zur Festlegung von Vorschriften für die Durchführung des Beschlusses Nr. 1313/2013/EU des Europäischen Parlaments und des Rates über ein Katastrophenschutzverfahren der Union und zur Aufhebung der Durchführungsbeschlüsse 2014/762/EU und (EU) 2019/1310 der Kommission (ABl. L, 2025/704, 15.4.2025, ELI: http://data.europa.eu/eli/dec_impl/2025/704/oj).

(3) ABl. C 56 vom 15.2.2023, S. 1.

(4) Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen „Katastrophenresilienzziele der Europäischen Union: sich gemeinsam für künftige Notfälle rüsten“, 8.2.2023, COM(2023) 61 final.

(5) Gemeinsame Mitteilung an das Europäische Parlament, den Europäischen Rat, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen über die Europäische Strategie für eine Union der Krisenvorsorge, 26.3.2025, JOIN(2025) 130 final.

(6) Erklärung „Commitment to enhance resilience“, herausgegeben von den Staats- und Regierungschefs, die an der Tagung des Nordatlantikrats am 8.-9. Juli 2016 in Warschau teilgenommen haben.

(7) Beispiele hierfür sind Software-Aktualisierungen, nicht kommunizierte Änderungen der dienstlichen E-Mail-Domain, nicht kommunizierte Aktualisierungen von Kontaktdaten, anhaltender Personalmangel oder der gleichzeitige Wechsel in den Ruhestand eines großen Teils des systemrelevanten Personals, für das erst ab dem Zeitpunkt des Ausscheidens Ersatz eingestellt werden kann.

(8) Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie) (ABl. L 333 vom 27.12.2022, S. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(9) Internationale Standards: ISO 22301:2019 (Business Continuity Managementsysteme); FEMA: Federal Continuity Directive 1 (2017), Federal Continuity Directive 2 (2017), Continuity Guidance Circular (2018, 2024 Update), Business Process Analysis and Business Impact Analysis User Guide (2019) und die Good Practice Guidelines (2018) des Business Continuity Institute.

(10) Zu den Teilnehmerstaaten siehe Artikel 28 des Beschlusses Nr. 1313/2013/EU.

(11) Verordnung (EU) 2019/941 des Europäischen Parlaments und des Rates vom 5. Juni 2019 über die Risikovorsorge im Elektrizitätssektor und zur Aufhebung der Richtlinie 2005/89/EG (ABl. L 158 vom 14.6.2019, S. 1, ELI: http://data.europa.eu/eli/reg/2019/941/oj).

(12) Verordnung (EU) 2017/1938 des Europäischen Parlaments und des Rates vom 25. Oktober 2017 über Maßnahmen zur Gewährleistung der sicheren Gasversorgung und zur Aufhebung der Verordnung (EU) Nr. 994/2010 (ABl. L 280 vom 28.10.2017, S. 1, ELI: http://data.europa.eu/eli/reg/2017/1938/oj).

(13) C(2024) 8339.

(14) Die Unterstützung durch den Gastgeberstaat wird in Artikel 4 Nummer 9 des Beschlusses Nr. 1313/2013/EU definiert als jede in den Vorsorge- und Bewältigungsphasen von dem Land, das Hilfe erhält oder leistet, oder von der Kommission getroffene Maßnahme, die der Beseitigung vorhersehbarer Hindernisse für die im Rahmen des Unionsverfahrens angebotene internationale Hilfe dient. Dies schließt die Unterstützung seitens der Mitgliedstaaten zur Erleichterung des Transits dieser Hilfe durch ihr Hoheitsgebiet ein.

ANHANG IV

Leitlinien für die Anwendung von Minderungs- und Präventionsmaßnahmen

Dieser Abschnitt enthält Leitlinien für die Anwendung von Minderungs- und Präventionsmaßnahmen, die nach Kategorien von destabilisierenden Ereignissen geordnet sind. Um Wiederholungen zu vermeiden, werden Maßnahmen, die für mehrere verschiedene Kategorien von destabilisierenden Ereignissen gelten, nur einmal in der ersten anwendbaren Kategorie aufgeführt.

—

Nichtverfügbarkeit von Räumlichkeiten:

—

Geografische Verteilung der NCP auf zwei oder mehr geografisch getrennte Zentren, die gleichzeitig operativ sind und sich gegenseitig als Ausweichstandort und bei Überlastung Unterstützung leisten. Jeder Standort sollte rund um die Uhr operativ und vollständig ausgestattet sein, um die gesamte Arbeitslast bewältigen zu können, wenn der/die andere(n) Standort(e) vorübergehend nicht einsatzbereit ist/sind. Darüber hinaus sollten Standorte auf der Grundlage einer Risikoanalyse verschiedener Risikozonen und ihrer Zugänglichkeit ausgewählt werden, wobei primäre und alternative Standorte in verschiedenen Risikozonen liegen und über verschiedene Transportwege zugänglich sein sollten. Beispielsweise sollten sich Standorte in erdbebengefährdeten Gebieten auf verschiedenen tektonischen Platten befinden; in hochwassergefährdeten Gebieten sollten sie in deutlich unterschiedlichen Höhenlagen oder in verschiedenen Flusseinzugsgebieten liegen.

—

Umzug in alternative Räumlichkeiten, die von der Behörde der NCP verwaltet werden. Erwägen Sie die Einrichtung von mindestens zwei alternativen Standorten. Einer sollte sich in der Nähe der Haupträumlichkeiten befinden, um einen schnellen Umzug und die rasche Wiederaufnahme systemrelevanter Funktionen zu erleichtern. Der andere Standort sollte weit genug entfernt sein, damit größere destabilisierende Ereignisse wie Überschwemmungen oder Schneestürme nicht beide Standorte gleichzeitig beeinträchtigen. Sorgen Sie dafür, dass die Informations- und Kommunikationssysteme sicher und systemrelevante IKT-Ausrüstungen und -Systeme – wie CECIS oder die für Verschlusssachen erforderliche Ausrüstung – kompatibel sind, sowohl in den Haupt- als auch in den alternativen Räumlichkeiten.

—

Vorab organisierte Beförderung von systemrelevantem Personal zu alternativen Räumlichkeiten (auch bei widrigen Witterungsverhältnissen) Um eine angemessene Personalausstattung sicherzustellen, müssen Vorkehrungen für die Beförderung des systemrelevanten Personals im Falle einer Aktivierung des Betriebskontinuitätsplans getroffen werden, bei der alternative Räumlichkeiten oder mobile Ausweicheinheiten genutzt werden. Berücksichtigen Sie die potenziellen Auswirkungen auf Verkehrswege wie Verkehrsüberlastung und Sperrung aufgrund widriger Witterungsverhältnisse, Infrastrukturausfälle, innerer Unruhen oder anderer Ursachen.

—

Fernarbeit (einschließlich Flexibilität bei Aufgaben, die außerhalb des physischen Standorts der NCP ausgeführt werden können) Ermitteln Sie, welche systemrelevanten Funktionen oder Schritte, die Teil der systemrelevanten Funktionen sind, standortunabhängig durchgeführt werden können. Dies kann dann möglich sein, wenn sich diese Funktionen/Schritte nicht auf Ausrüstung oder Systemen stützen, die ausschließlich in den physischen Haupträumlichkeiten vorhanden sind. Erwägen Sie die Erstellung eines Notfallplans oder -systems zur Umstrukturierung der Zuständigkeiten des Personals, damit einige Mitarbeiter von zu Hause aus arbeiten können, während andere in die alternativen Räumlichkeiten verlegt werden.

—

Mobile Führungs- und Kontrolleinheiten, die vorübergehend das systemrelevante Personal der NCP aufnehmen könnten Diese Einheiten sollten die Ausführung systemrelevanter Funktionen in einer mobilen Umgebung unterstützen, einschließlich des Zugangs zu operativen Informationssystemen und CECIS. Es sollte festgelegt werden, welche Ausrüstung und welcher Grad an Autarkie erforderlich sind, um die operative Einsatzbereitschaft sicherzustellen. Sie sollten so ausgelegt sein, dass sie den Betrieb als vorübergehende Reserve zur Unterstützung der Haupträumlichkeiten für einen vorab festgelegten Zeitraum aufrechterhalten können.

—

Aktivierung von Verwaltungsvorkehrungen mit anderen Behörden über die Nutzung ihrer Räumlichkeiten. Treffen Sie Vereinbarungen mit anderen nationalen oder regionalen Behörden über die vorübergehende gemeinsame Nutzung von deren Räumlichkeiten. Bewerten Sie Layouts, Systeme, Ausrüstung und Sicherheitsmaßnahmen, die für die wirksame Ausübung der systemrelevanten Funktionen erforderlich sind. Stellen Sie sicher, dass diese Vereinbarungen regelmäßige Übungen und Tests zur Validierung der Einsatzbereitschaft und Eignung dieser alternativen Einrichtungen vorsehen.

—	Dezentralisierung: Sorgen Sie dafür, dass entsprechende Vorkehrungen getroffen werden und ein System zur Übertragung von Aufgaben an andere nationale Behörden eingerichtet wird.

—

Unterbrechung der Stromversorgung:

—

Aktivierung von Generatoren und USV. Stellen Sie Generatoren und USV-Systeme bereit, die so dimensioniert sind, dass sie die Kontinuität systemrelevanter Funktionen der NCP für einen festgelegten Mindestzeitraum aufrechterhalten. Ihre Kapazität sollte ausreichen, um die betrieblichen Anforderungen bei längeren Stromausfällen zu erfüllen. Generatoren und USV-Systeme sollten regelmäßig getestet werden, um ihre operative Einsatzbereitschaft sicherzustellen.

—

Vorkehrungen für die vorrangige Versorgung mit Kraftstoffen und Vereinbarungen mit Anbietern. Es sollten Vorkehrungen für die Kraftstoffversorgung getroffen werden, die es auf der Grundlage der Lagerkapazität vor Ort und des erwarteten Kraftstoffverbrauchs ermöglichen, den Betrieb aufrechtzuerhalten. Mögliche zusätzliche Maßnahmen sind z. B. die Bereitstellung mobiler Kraftstofftanks mit Pumpsystemen und/oder vorrangige Liefervereinbarungen mit Kraftstoffanbietern aus der Nähe.

—

Energieautonomie und alternative Energiequellen für systemrelevante Funktionen Die NCP sollte nach Möglichkeit unabhängig vom nationalen Stromnetz operieren können. Wenn das Netz mehrere Tage lang ausfällt, wie dies bei größeren Katastrophen der Fall sein kann, könnte die Kontinuität durch diversifizierte Energiequellen und ein autarkes Mikronetz aufrechterhalten werden, zum Beispiel durch ein Wind- oder Solarmikronetz. Erwägen Sie die Installation von alternativen Energiequellen wie Photovoltaikmodule mit Batteriespeicher, die so dimensioniert sind, dass sie die systemrelevanten Funktionen der NCP erfüllen.

—

Maximierung der verfügbaren Stromkapazität. Legen Sie interne Protokolle fest, um die verfügbare Stromkapazität zu maximieren, indem die Nutzung nicht wesentlicher Ausrüstung eingeschränkt und Lasten, die zur Unterstützung systemrelevanter Funktionen nicht erforderlich sind, schrittweise vom Netz getrennt werden, sodass die Notstrom-Autonomie ohne zusätzliche Investitionen erweitert wird.

—	Umzug in alternative Räumlichkeiten, die von der Behörde der NCP verwaltet werden und über eine Stromversorgung verfügen (die entsprechenden Empfehlungen sind unter „Nichtverfügbarkeit von Räumlichkeiten“ aufgeführt).

—	Fernarbeit von einem Gebäude mit garantierter Stromversorgung aus (die entsprechenden Empfehlungen sind unter „Nichtverfügbarkeit von Räumlichkeiten“ aufgeführt).

—	Mobile Führungs- und Kontrolleinheiten, die in Bezug auf Strom autark sind (die entsprechenden Empfehlungen sind unter „Nichtverfügbarkeit von Räumlichkeiten“ aufgeführt).

—	Aktivierung von Verwaltungsvorkehrungen mit anderen Behörden über die Nutzung ihrer Räumlichkeiten mit garantierter Stromversorgung (die entsprechenden Empfehlungen sind unter „Nichtverfügbarkeit von Räumlichkeiten“ aufgeführt).

—	Dezentralisierung (die entsprechenden Empfehlungen sind unter „Nichtverfügbarkeit von Räumlichkeiten“ aufgeführt).

—

Störung oder Ausfall von IKT-Systemen:

—

Redundanz. Durch Redundanz wird sichergestellt, dass bei Ausfall einer Komponente die Funktion, die von dieser Komponente unterstützt wird, aufrechterhalten wird. Die NCP sollte Redundanz auf komplementären Ebenen implementieren: i) Ausrüstung (Duplizieren systemrelevanter Komponenten), ii) Konnektivität (mehrere Anbieter und verschiedene Zugangswege) und iii) Anwendungen und Daten (Replikation systemrelevanter Datenbanken und Dokumente zu einem sekundären Standort). Redundanzmaßnahmen sollten mit ausreichenden Kapazitäten geplant werden, um den Betrieb im Falle eines Ausfalls der wichtigsten IKT-Umgebung aufrechtzuerhalten, und sind regelmäßig zu testen, um die Einsatzbereitschaft und einen nahtlosen Failover im Falle einer Störung sicherzustellen. Es dürfen keine gemeinsamen Abhängigkeiten vom Primärsystem bestehen, z. B. von derselben Stromquelle, demselben Anbieter oder derselben physischen Infrastruktur, da diese gleichzeitig ausfallen könnten.

—

Glasfaserleitungen sind sehr anfällig für Bodenverschiebungen, da diese zu Signalabschwächungen oder -verlusten und Betriebsunterbrechungen führen können. Um dieses Risiko zu mindern, wird als Standard-Redundanzmaßnahme eine satellitengestützte Ausfallsicherung empfohlen, die es dem Backup-Netz ermöglicht, dieselbe Lageerfassung wie das Primärnetz aufrechtzuerhalten. Die Spiegelung geografischer Daten sollte im Active-Active-Modus erfolgen, sodass Primär- und Backup-Umgebungen synchronisiert bleiben, damit beide nahtlos die Funktionen übernehmen können. Mit diesem Redundanz- und Spiegelprinzip wird eine hohe Verfügbarkeit und Leistungsfähigkeit in Glasfasernetzen erreicht.

—

Regelmäßige und sichere Datensicherungen, einschließlich Off-Site- und Offline-Kopien. Erstellen und pflegen Sie eine strukturierte Backup-Strategie für alle Daten und Konfigurationen, die für den Betrieb der NCP von wesentlicher Bedeutung sind. Darin sollte festgelegt werden, was gesichert wird, wie häufig und wo die Sicherungskopien (einschließlich Off-Site- oder Offline-Kopien) gespeichert werden sowie wer für ihre Verwaltung zuständig ist. Sicherungen sollten verschlüsselt und vor unbefugtem Zugriff geschützt werden.

—

Alternative IKT-Systeme und Kommunikationskanäle. Richten Sie alternative Instrumente und Kanäle sind ein, die bei Ausfall primärer IKT-Systeme oder -Netze genutzt werden können. Dazu können Satellitenkommunikation, Hochfrequenz-(HF)-, Ultrakurzwellen-(VHF)- oder Ultrahochfrequenz-(UHF)-Mobilfunkgeräte, analoge Telefonleitungen, Secure-Messaging-Anwendungen oder webbasierte Plattformen gehören, die außerhalb der Hauptinfrastruktur gehostet werden. Die Mitarbeiter sollten genau wissen, wann und wie sie zu diesen Alternativen wechseln können.

—

IKT-Notfallteams / technische Bereitschaftsdienste. Organisieren Sie einen schnellen Zugang für IKT-Unterstützung, ob über einen internen Dienst (innerhalb der Organisation) oder über einen externen Anbieter, und treffen Sie klare Regelungen zu Verfügbarkeit und Reaktionszeiten, damit bei Bedarf schnell technische Hilfe mobilisiert werden kann, die eine umgehende Wiederherstellung der IKT-Systeme sicherstellt.

—

Verfahren für die Reaktion auf Cybervorfälle in Abstimmung mit der nationalen Cybersicherheitsbehörde. Erstellen Sie Koordinierungsprotokolle mit der nationalen Cybersicherheitsbehörde, einschließlich Frühwarnkanälen, gemeinsamer Verfahren für die Reaktion auf Sicherheitsvorfälle und klar definierter Rollen und Zuständigkeiten während eines Cybervorfalls, der die NCP betrifft.

—	Offline-Kopien wesentlicher Kontaktlisten, wichtiger Verfahren und operativer Dokumente Informationen wie Kontaktlisten, Verfahren bei Sicherheitsvorfällen und wichtige Vorlagen sollten in Formaten verfügbar sein, die ohne Zugang zu den wichtigsten IKT-Systemen verwendet werden können.

—	Mobile Führungs- und Kontrolleinheiten mit Zugang zu primären und Backup-IKT-Systemen (die entsprechenden Empfehlungen sind unter „Nichtverfügbarkeit von Räumlichkeiten“ aufgeführt).

—	Umzug in alternative Räumlichkeiten, die von der Behörde der NCP verwaltet werden und Zugang zu primären und Backup-IKT-Systemen haben (die entsprechenden Empfehlungen sind unter „Nichtverfügbarkeit von Räumlichkeiten“ aufgeführt).

—	Aktivierung von Verwaltungsvorkehrungen mit anderen Behörden über die Nutzung ihrer Räumlichkeiten mit Zugang zu IKT-Systemen (die entsprechenden Empfehlungen sind unter „Nichtverfügbarkeit von Räumlichkeiten“ aufgeführt).

—

Großflächige Personalausfälle und Fehlen von systemrelevantem Engpasspersonal:

—

Überstundenmanagement (kurzfristige Lösung). Erstellen Sie ein Überstundenprotokoll, in dem Folgendes festgelegt ist: klare Kriterien dafür, wann Überstunden angesetzt werden können; wer sie genehmigen kann; festgelegte Grenzen (maximale Schichtlänge, maximale Wochenstunden und maximale Zahl an aufeinanderfolgenden Tagen); Mindestruhezeiten zwischen den Schichten und nach Erreichen der wöchentlichen Höchstarbeitszeit oder der maximalen Anzahl aufeinanderfolgender Tage; ein faires Rotationssystem, damit dieselben Mitarbeiter nicht wiederholt angefragt werden; ein System zur Aufzeichnung von Überstunden; im Voraus festgelegte zusätzliche Vergütung und praktische Unterstützung während längerer Arbeitszeiten (z. B. Mahlzeiten, Ruhebereiche und falls erforderlich Transport nach Hause).

—

Neuzuweisung systemrelevanter Funktionen an das verfügbare Personal. Treffen Sie Notfallvorkehrungen, in denen festgelegt ist, wie systemrelevante Funktionen bei Abwesenheit von Schlüsselpersonal umverteilt werden. Dazu gehört auch, für jede systemrelevante Aufgabe Ersatzpersonal zu ermitteln und die Verfahren nach Möglichkeit zu vereinfachen.

—

Ein vorab festgelegter Pool von geschultem Personal innerhalb der Einrichtung, das kurzfristig verfügbar ist. Richten Sie ein System zur Mobilisierung von Reservepersonal aus einem vorab festgelegten Pool ein und definieren Sie klare Regeln dafür, wer Reservepersonal mobilisieren kann und wie dies geschieht, einschließlich Aktivierungskriterien, Kommunikationskanäle für die Mobilisierung, Personalanforderungen (z. B. Sicherheitsüberprüfung, Schulung oder Fachwissen) und wie Freizeit oder Überstunden geregelt sind, mit regelmäßigen Überprüfungen, um sicherzustellen, dass das System gut funktioniert. Sorgen Sie dafür, dass diese Regeln dem Personal des Pools gut bekannt sind.

—

Dieser Pool kann aufgebaut werden, indem i) abteilungsübergreifend Mitarbeiter aus anderen Einheiten geschult werden – durch Einführung von funktionsübergreifenden Schulungsprogrammen, damit mehrere Mitarbeiter dieselben systemrelevanten Aufgaben übernehmen können, wobei der Schwerpunkt auf den Rollen liegt, die als Engpässe identifiziert wurden – und ii) ein „ruhender Pool“ ehemaliger systemrelevanter NCP-Mitarbeiter eingerichtet wird – Mitarbeiter sollten nach einer festgelegten Zeit von ihren NCP-Aufgaben entbunden und in andere Abteilungen versetzt werden, um einen ruhenden Pool an Reservepersonal zu schaffen. Durch die Pflege dieses ruhenden Pools stehen Überlaufkapazitäten bereit und es ist eine rasche Aktivierung möglich, wodurch monatelange Schulungen und Sicherheitsüberprüfungen, die in der Regel für solche sensiblen Aufgaben erforderlich sind, entfallen. In beiden Fällen sollten entsprechende Regelungen formalisiert werden, damit das dem Pool angehörende Personal durch regelmäßige Auffrischungsschulungen auf dem neuesten Stand bleibt und im Falle einer größeren Krise rasch mobilisiert werden kann.

—

Priorisierung der Personaleinstellung. Ein kontinuierlicher Betrieb der NCP rund um die Uhr an sieben Tagen der Woche erfordert eine stabile Personalausstattung. Die NCP kann in Erwägung ziehen, bei Einstellungen vorrangig Stellen zu besetzen, die zur Unterstützung systemrelevanter Funktionen dienen, und einem vorhersehbaren Personalmangel (z. B. gleichzeitiger Eintritt in den Ruhestand oder Auslaufen befristeter Verträge) vorzugreifen, indem rechtzeitig im Voraus mit Neueinstellungen begonnen wird. Zu den Maßnahmen kann die Entwicklung beschleunigter Einstellungsverfahren gehören; darüber hinaus kann durch kontinuierliche Schulung des vorhandenen Personals die Personalstabilität weiter unterstützt werden, da auf diese Weise interne Mobilität, Kompetenzentwicklung und Personalnachfolge über alle systemrelevanten Funktionen hinweg ermöglicht werden.

—

Investitionen in die Bindung von systemrelevantem Personal Um das in den NCP tätige Personal zu halten, muss die Motivation durch eine Kombination aus Vorteilen und Anreizen gefördert werden. Zu den nichtmonetären Anreizen können mehr Urlaubstage nach einer bestimmten Dienstzeit, flexible Dienstpläne mit Mindestanforderungen an die Dienstabdeckung, Ruhebereiche vor Ort, Maßnahmen zur Unterstützung der Familie (z. B. Zugang zu Kinderbetreuung) und der Zugang zu ermäßigten oder kostenlosen Dienstleistungen wie öffentlichen Verkehrsmitteln, Gesundheitsversorgung sowie Kultur- oder Sporteinrichtungen gehören.

—

Unterstützung der Familien des systemrelevanten Personals Die Verfügbarkeit des systemrelevanten Personals kann von der familiären Situation abhängen, insbesondere wenn die Familiensituation schwierig oder keine Betreuung verfügbar ist. Prüfen Sie daher, gegebenenfalls Vorkehrungen für den Schutz der Familien des systemrelevanten Personals der NCP zu treffen, wobei deren Sicherheit Vorrang einzuräumen ist, damit das Personal einsatzfähig bleiben kann;

—

Verhinderung von Personalengpässen durch Delegierung von Befugnissen und Förderung der geteilten Verantwortung. Sorgen Sie dafür, dass Zuständigkeiten und Aufgaben klar definiert sind. Erstellen Sie Protokolle für die Delegierung von Befugnissen. Bestimmen Sie die Nachfolger mit ihren jeweiligen Positionen, die einspringen würden, falls die für systemrelevante Funktionen zuständigen Entscheidungsträger nicht verfügbar sind. Legen Sie fest, unter welchen Umständen und in welcher Reihenfolge sie diese Aufgaben übernehmen sollen. Sorgen Sie – soweit es die Entscheidungsbefugnisse und Zuständigkeiten zulassen – für Kapazitätsaufbau und regelmäßige Schulungen, damit die Übernahme der Befugnisse im Falle einer Störung gelingt. Prüfen Sie, ob eine Verteilung oder Aufteilung der Aufgaben auf mehrere Mitarbeiter im Rahmen eines Rotationssystems machbar und sinnvoll ist, um Engpässe zu vermeiden. Prüfen Sie die Pflege eines aktualisierten Handbuchs für neue Mitarbeiter, damit weniger erfahrene Kollegen in die Lage versetzt werden, ein breites Spektrum an Aufgaben eigenständig zu bewältigen, wobei auf die Einhaltung etablierter Standards und Protokolle zu achten ist.

Fähigkeit	Indikatives operatives Ziel (sollte bewertet und an die nationalen Anforderungen angepasst werden)
Erste Lageerfassung	innerhalb von 15 Minuten
Aktivierung von Kontinuitätsvorkehrungen	innerhalb von 30 Minuten
Alternative Kommunikation eingerichtet	innerhalb von 30 Minuten
Alternativer Befehlsstandort betriebsbereit	innerhalb von 2 Stunden
Fähigkeit zur Entscheidungsunterstützung	ununterbrochen, wann immer dies möglich ist
Kraftstoffautonomie	mindestens 72 Stunden
Nahrungsmittel- und Wasserautonomie	mindestens 72 Stunden
CECIS betriebsbereit	innerhalb von 60 Minuten
Erster operativer Lagebericht an das ERCC	innerhalb des ersten operativen Berichtszyklus

Wesentliche Funktion 1	Name dieser Funktion.
Beschreibung	Beschreiben Sie diese Funktion, einschließlich der Aufgaben, die sie umfasst.
Inputs	Führen Sie die Inputs auf (Informationen, Datensätze, Dienstleistungen, Produkte, Betriebsstoffe, Haushaltsmittel, Ausrüstung, IKT-Systeme und Standortanforderungen), die zur Erfüllung dieser Funktion erforderlich sind, sowie gegebenenfalls die externen Einrichtungen, die sie bereitstellen.
Outputs	Führen Sie die Informationen, Produkte, Dienstleistungen oder Maßnahmen auf, die sich aus dieser Funktion ergeben, und nennen Sie die (externen) Organisationen, Einrichtungen oder betroffenen Gruppen, die diese erhalten.
Leitung (Validierung oder Autorisierung)	Führen Sie gegebenenfalls die Positionen mit Validierungs- oder Autorisierungsfunktion auf, die zur Erfüllung dieser Funktion erforderlich sind.
Systemrelevantes Personal	Führen Sie die Positionen des systemrelevanten Personals und gegebenenfalls dessen Profil, Fachwissen und Schulung auf, wie z. B. die Sicherheitsermächtigung.
Standort	Geben Sie den/die physischen Ort(e) oder Räumlichkeiten an, von dem/denen aus die wesentlichen Funktionen ausgeübt werden.
Ausrüstung und Systeme	Führen Sie die Ausrüstung, Systeme und Vorkehrungen auf, die zur Erfüllung dieser Funktion erforderlich sind. Dazu können sichere Räumlichkeiten, Computer für die verschlüsselte Kommunikation, Videowände, hochwertige Sitzungssäle, Videokonferenzausrüstung und Computer mit Zugang zu den transeuropäischen Telematikdiensten zwischen Verwaltungen (TESTA) usw. gehören.
Wesentliche Aufzeichnungen	Listen Sie die Daten und Informationen auf, die für die Erfüllung der Funktion erforderlich sind.
Abhängigkeiten und Interdependenzen	Führen Sie auf, welche Beziehungen oder Regelungen unter den oben genannten Punkten bestehen und geben Sie gegebenenfalls die Art der Beziehung oder Regelung an, die erforderlichen wesentlichen Dienste (z. B. Stromversorgung, IKT usw.), die Auswirkungen im Falle einer Dienst- oder Lieferunterbrechung und die Vereinbarungen mit den Einrichtungen, die diese Dienste oder Lieferungen erbringen. In der Bewertung sollten auch Interdependenzen beschrieben werden, einschließlich Kaskadeneffekten, wenn die Störung eines Dienstes (z. B. Strom oder IKT) andere Dienste beeinträchtigt und dadurch die operativen Auswirkungen verstärkt.
Backup-Vorkehrungen	Listen Sie die alternativen Ressourcen oder Vorkehrungen auf, die aktiviert werden können, um den Betrieb fortzusetzen, wenn die wichtigsten Ressourcen oder Vorkehrungen von dem destabilisierenden Ereignis betroffen sind.

Einhaltung des Betriebskontinuitätsplans	Bewertung (0-3): … Beschreibung...
Aufrechterhaltung wesentlicher Funktionen und Erfüllung vorab festgelegter, messbarer operativer Leistungsziele	Bewertung (0-3): … Beschreibung...
Feststellungen und Bemerkungen	…
Ermittelte Lücken und Erkenntnisse	…
Vorschläge für Verbesserungen	…
Für die Umsetzung erforderliche Maßnahmen	…