NIS2 nennt in Anhang I Nummer 8 neun Arten von Anbietern digitaler Infrastruktur. DNS-Diensteanbieter, TLD-Namenregister, Vertrauensdiensteanbieter und öffentliche Telekommunikationsanbieter sind unabhängig von ihrer Größe erfasst, Anbieter von Cloud-, Rechenzentrums-, CDN- und IXP-Diensten ab mittlerer Größe. Sechs der neun Arten müssen außerdem die technischen Anforderungen und die Schwellenwerte für Sicherheitsvorfälle der Durchführungsverordnung (EU) 2024/2690 erfüllen.
Dieser Leitfaden behandelt Anwendungsbereich, Definitionen, Größe und Einstufung, Zuständigkeit, die Durchführungsverordnung, Schwellenwerte für Sicherheitsvorfälle, DNS, Telekommunikation, die Lücken, die kleinere Anbieter schließen müssen, und eine Checkliste.
| Art der Einrichtung (Anhang I Nummer 8) | Größenregel | Einstufung | Zuständigkeit (Art. 26) | DVO 2024/2690 |
|---|---|---|---|---|
| Betreiber von Internet-Knoten | Ab mittlerer Größe | Groß: wesentlich. Mittel: wichtig | Niederlassung | Nein |
| DNS-Diensteanbieter, ausgenommen Betreiber von Root-Namenservern | Jede Größe | Wesentlich | Hauptniederlassung | Ja |
| TLD-Namenregister | Jede Größe | Wesentlich | Hauptniederlassung | Ja |
| Anbieter von Cloud-Computing-Diensten | Ab mittlerer Größe | Groß: wesentlich. Mittel: wichtig | Hauptniederlassung | Ja |
| Anbieter von Rechenzentrumsdiensten | Ab mittlerer Größe | Groß: wesentlich. Mittel: wichtig | Hauptniederlassung | Ja |
| Betreiber von Inhaltszustellnetzen | Ab mittlerer Größe | Groß: wesentlich. Mittel: wichtig | Hauptniederlassung | Ja |
| Vertrauensdiensteanbieter | Jede Größe | Qualifiziert oder groß: wesentlich. Sonst: wichtig | Niederlassung | Ja |
| Anbieter öffentlicher elektronischer Kommunikationsnetze | Jede Größe | Mittel oder groß: wesentlich. Klein: wichtig | Ort der Diensterbringung | Nein |
| Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste | Jede Größe | Mittel oder groß: wesentlich. Klein: wichtig | Ort der Diensterbringung | Nein |
Die Mitgliedstaaten können auch kleinere Einrichtungen einbeziehen, etwa den einzigen nationalen Anbieter eines wesentlichen Dienstes (Artikel 2 Absatz 2 Buchstaben b bis e).
Welche Anbieter digitaler Infrastruktur erfasst NIS2?
Die erste Tabellenspalte nennt die neun Arten im Wortlaut von Anhang I, der die Sektoren mit hoher Kritikalität aufführt. Drei verwandte Gruppen stehen an anderer Stelle.
Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste stehen in Anhang I Nummer 9 und werden in NIS2 für MSP und MSSP behandelt. Online-Marktplätze, Suchmaschinen und soziale Netzwerke sind Anbieter digitaler Dienste nach Anhang II. Domain-Registrare und Reseller stehen in keinem der beiden Anhänge: Artikel 2 Absatz 4 erfasst sie unabhängig von ihrer Größe, und Artikel 3 Absatz 3 führt sie getrennt von wesentlichen und wichtigen Einrichtungen auf.
Wie definiert NIS2 Cloud-, Rechenzentrums-, DNS-, CDN- und IXP-Dienste?
Artikel 6 entscheidet, ob ein Angebot in den Anwendungsbereich fällt.
- DNS, Art. 6 Nr. 19: ein verteiltes hierarchisches Verzeichnissystem, das Dienste und Ressourcen im Internet identifiziert, damit Endnutzergeräte sie erreichen können.
- DNS-Diensteanbieter, Art. 6 Nr. 20: eine Einrichtung, die „a) für Internet-Endnutzer öffentlich verfügbare rekursive Dienste zur Auflösung von Domänennamen anbietet oder b) autoritative Dienste zur Auflösung von Domänennamen zur Nutzung durch Dritte, mit Ausnahme von Root-Namenservern, anbietet“.
- TLD-Namenregister, Art. 6 Nr. 21: eine Einrichtung, der eine bestimmte TLD übertragen wurde und die sie verwaltet, einschließlich Registrierung und technischem Betrieb, selbst oder ausgelagert, es sei denn, sie nutzt die TLD-Namen nur für eigene Zwecke.
- Cloud-Computing-Dienst, Art. 6 Nr. 30: ein digitaler Dienst, der „auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht, auch wenn diese Ressourcen auf mehrere Standorte verteilt sind“.
- Rechenzentrumsdienst, Art. 6 Nr. 31: ein Dienst, der Strukturen für die zentrale Unterbringung, die Verbindung und den Betrieb von IT- und Netzausrüstungen für Datenspeicherung, Datenverarbeitung und Datentransport bereitstellt, samt den Anlagen für Leistungsverteilung und Umgebungskontrolle.
- Inhaltszustellnetz, Art. 6 Nr. 32: geografisch verteilte Server, die im Auftrag von Inhalte- und Diensteanbietern eine hohe Verfügbarkeit, Zugänglichkeit oder schnelle Zustellung digitaler Inhalte und Dienste für Internetnutzer gewährleisten.
- Internet-Knoten, Art. 6 Nr. 18: eine Einrichtung, die mehr als zwei autonome Systeme zusammenschaltet, in erster Linie für den Austausch von Internet-Datenverkehr, ohne dass der Verkehr zwischen zwei Teilnehmern über einen dritten laufen muss und ohne den Verkehr zu verändern.
Erwägungsgrund 35 nimmt „interne Rechenzentren, die sich im Besitz der betreffenden Einrichtung befinden und von der betreffenden Einrichtung für eigene Zwecke betrieben werden“ aus. Nach dem Wortlaut von Artikel 6 Nummer 20 ist ein Unternehmen, das autoritatives DNS nur für seine eigenen Domains betreibt, kein DNS-Diensteanbieter. Ein Hosting-Unternehmen, das es für Kundendomains betreibt, ist einer.
Gilt NIS2 auch für kleine Cloud-, Rechenzentrums- und DNS-Anbieter?
Artikel 2 Absatz 1 erfasst Einrichtungen, die nach der Empfehlung 2003/361/EG mindestens mittlere Unternehmen sind: in der Praxis 50 oder mehr Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR. Partnerunternehmen und verbundene Unternehmen zählen mit, sodass eine Tochtergesellschaft eines großen Konzerns mit 30 Beschäftigten ein großes Unternehmen sein kann.
Artikel 2 Absatz 2 Buchstabe a hebt die Größenschwelle für drei Gruppen auf: i) Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste; ii) Vertrauensdiensteanbieter; iii) TLD-Namenregister und DNS-Diensteanbieter. Ein Unternehmen mit zwei Personen, das autoritatives DNS für Kunden betreibt, ist erfasst.
Die Einstufung folgt Artikel 3 Absatz 1. Einrichtungen nach Anhang I, die die Schwellenwerte für mittlere Unternehmen überschreiten (250 oder mehr Beschäftigte oder ein Umsatz über 50 Mio. EUR und eine Bilanzsumme über 43 Mio. EUR), sind wesentlich. Qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter sind „unabhängig von ihrer Größe“ wesentlich. Auch mittlere Telekommunikationsanbieter sind wesentlich. Andere erfasste Einrichtungen nach Anhang I sind standardmäßig wichtig (Artikel 3 Absatz 2).
Die Einstufung ändert die Aufsicht, nicht die Pflichten. Wesentliche Einrichtungen werden vorab beaufsichtigt, einschließlich Vor-Ort-Kontrollen und Sicherheitsprüfungen (Artikel 32), wichtige Einrichtungen nachträglich (Artikel 33). Die Höchstbeträge der Geldbußen liegen bei mindestens 10 Mio. EUR oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und bei 7 Mio. EUR oder 1,4 % für wichtige, je nachdem, welcher Betrag höher ist (Artikel 34).
Welcher Staat beaufsichtigt Cloud-, Rechenzentrums- oder DNS-Anbieter?
Grundsätzlich der Mitgliedstaat, in dem die Einrichtung niedergelassen ist (Artikel 26 Absatz 1). Telekommunikationsanbieter unterstehen jedem Mitgliedstaat, in dem sie ihre Dienste erbringen. DNS-Diensteanbieter, TLD-Namenregister, Domänennamen-Registrierungsdienste, Cloud-, Rechenzentrums- und CDN-Anbieter, MSP, MSSP und die Anbieter digitaler Dienste nach Anhang II unterstehen dem Mitgliedstaat ihrer Hauptniederlassung, die in drei Stufen bestimmt wird (Artikel 26 Absatz 2):
- dort, wo die Entscheidungen im Zusammenhang mit den Risikomanagementmaßnahmen im Bereich der Cybersicherheit in der Union überwiegend getroffen werden;
- lässt sich das nicht bestimmen oder werden diese Entscheidungen nicht in der Union getroffen: dort, wo die Cybersicherheitsmaßnahmen durchgeführt werden;
- andernfalls die Niederlassung mit den meisten Beschäftigten in der Union.
Anbieter dieser Arten mit Sitz außerhalb der EU müssen einen Vertreter in einem Mitgliedstaat benennen, in dem sie Dienste anbieten, und unterstehen diesem Mitgliedstaat (Artikel 26 Absatz 3). Internet-Knoten und Vertrauensdiensteanbieter folgen der allgemeinen Niederlassungsregel. Mehr dazu in NIS2: Zuständigkeit und Hauptniederlassung.
Artikel 27 ergänzt ein Register der ENISA für dieselben Arten, für wichtige wie für wesentliche Einrichtungen: Name, Art, Niederlassungen oder Vertreter, Kontaktdaten, bediente Mitgliedstaaten und IP-Adressbereiche, fällig bis zum 17. Januar 2025, Änderungen innerhalb von drei Monaten.
Was verlangt die Durchführungsverordnung (EU) 2024/2690?
Artikel 21 Absatz 5 NIS2 verpflichtete die Kommission, technische und methodische Anforderungen für die sechs in der Tabelle mit Ja markierten Arten festzulegen, dazu für MSP, MSSP, Online-Marktplätze, Suchmaschinen und soziale Netzwerke. Die Durchführungsverordnung (EU) 2024/2690 wurde am 17. Oktober 2024 erlassen und gilt seit dem 7. November 2024 unmittelbar in jedem Mitgliedstaat.
- Der Anhang überträgt die zehn Maßnahmen aus Artikel 21 Absatz 2 in 13 Abschnitte, vom Sicherheitskonzept bis zur Sicherheit des Umfelds und physischen Sicherheit.
- Artikel 2 Absatz 2 verankert die Verhältnismäßigkeit. Wo der Anhang eine Anforderung nur „soweit angemessen“, „soweit anwendbar“ oder „soweit durchführbar“ vorsieht und Sie sie nicht anwenden, müssen Sie Ihre Begründung „in verständlicher Weise“ dokumentieren.
Wann ist ein Sicherheitsvorfall bei Cloud-, Rechenzentrums-, DNS- und CDN-Anbietern erheblich?
Nach Artikel 3 Absatz 1 der Durchführungsverordnung ist ein Sicherheitsvorfall erheblich, wenn er eines der allgemeinen Kriterien erfüllt:
- er hat einen direkten finanziellen Verlust von mehr als 500.000 EUR oder 5 % des Jahresumsatzes verursacht oder kann ihn verursachen, je nachdem, welcher Betrag niedriger ist;
- er hat den Abfluss von Geschäftsgeheimnissen, den Tod eines Menschen oder eine schwere Schädigung der Gesundheit verursacht oder kann dies verursachen;
- es gab einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff, der geeignet ist, schwerwiegende Betriebsstörungen zu verursachen;
- Sicherheitsvorfälle treten innerhalb von sechs Monaten mindestens zweimal mit derselben offensichtlichen Ursache auf und überschreiten zusammen die finanzielle Schwelle (Artikel 4);
- er erfüllt ein einrichtungsspezifisches Kriterium der Artikel 5 bis 14.
Planmäßige Wartungsarbeiten zählen nicht (Artikel 3 Absatz 2). Im Folgenden bedeutet „Daten beeinträchtigt“, dass die Integrität, Vertraulichkeit oder Authentizität der Daten im Zusammenhang mit dem Dienst beeinträchtigt ist.
| Art der Einrichtung | Art. | Verfügbarkeit | Daten und physischer Zugang |
|---|---|---|---|
| DNS-Diensteanbieter | 5 | Auflösung mehr als 30 Minuten lang vollständig nicht verfügbar; durchschnittliche Antwortzeit über 10 Sekunden für mehr als eine Stunde | Autoritative Daten beeinträchtigt, außer bei Fehlkonfiguration von weniger als 1.000 Domänennamen, die höchstens 1 % der verwalteten ausmachen |
| TLD-Namenregister | 6 | Autoritative Auflösung vollständig nicht verfügbar, ohne Mindestdauer; durchschnittliche Antwortzeit über 10 Sekunden für mehr als eine Stunde | Daten zum technischen Betrieb der TLD beeinträchtigt |
| Cloud-Computing | 7 | Mehr als 30 Minuten lang vollständig nicht verfügbar; für mehr als 5 % der Nutzer in der EU oder mehr als 1 Mio., je nachdem, welche Zahl niedriger ist, länger als eine Stunde eingeschränkt | Daten durch eine mutmaßlich böswillige Handlung beeinträchtigt oder mit Auswirkung auf mehr als 5 % der Nutzer in der EU oder 1 Mio., je nachdem, welche Zahl niedriger ist |
| Rechenzentrum | 8 | Vollständig nicht verfügbar, ohne Mindestdauer; länger als eine Stunde eingeschränkt | Daten durch eine mutmaßlich böswillige Handlung beeinträchtigt; physischer Zugang zu einem Rechenzentrum beeinträchtigt |
| Inhaltszustellnetz | 9 | Wie Cloud | Wie Cloud |
| Vertrauensdienste | 14 | Mehr als 20 Minuten lang vollständig nicht verfügbar; mehr als eine Stunde pro Kalenderwoche nicht verfügbar; eingeschränkt für mehr als 1 % der Nutzer oder vertrauenden Beteiligten in der EU oder 200.000, je nachdem, welche Zahl niedriger ist | Beschränkter physischer Zugang beeinträchtigt; Daten beeinträchtigt für mehr als 0,1 % der Nutzer oder vertrauenden Beteiligten oder 100, je nachdem, welche Zahl niedriger ist |
Die Meldung folgt dann Artikel 23 NIS2: Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats nach der Meldung. Vertrauensdiensteanbieter übermitteln die Meldung über den Sicherheitsvorfall innerhalb von 24 Stunden.
Was verlangt NIS2 von DNS-Diensteanbietern und TLD-Namenregistern?
Sie wenden die Maßnahmen nach Artikel 21 in der Detailtiefe der Durchführungsverordnung an und stehen unabhängig von ihrer Größe unter der Aufsicht für wesentliche Einrichtungen. Zwei Punkte fallen auf.
- Integrität zählt für sich allein. Ein gekaperter DNS-Eintrag, der nach zehn Minuten behoben ist, kann trotzdem das Datenkriterium erfüllen.
- DNSSEC wird nicht genannt. Weder Artikel 21 noch die Artikel 5 und 6 der Durchführungsverordnung erwähnen es; nach ihrem Erwägungsgrund 8 sollte die Kommission ein Multi-Stakeholder-Forum unterstützen, das die „besten bestehenden Normen“ für die DNS-Sicherheit ermittelt. In der Praxis ist das Signieren Ihrer Zonen ein direkter Schutz der autoritativen Daten. Es bietet Herkunftsauthentifizierung und Integrität, keine Vertraulichkeit (RFC 4033).
Artikel 28 ergänzt Pflichten zu Registrierungsdaten für TLD-Namenregister und Registrare: genaue und vollständige Daten mit Überprüfungsverfahren erheben, nicht personenbezogene Daten unverzüglich nach der Registrierung veröffentlichen und rechtmäßige und hinreichend begründete Zugangsanträge innerhalb von 72 Stunden beantworten. Einzelheiten in WHOIS-Daten nach NIS2.
Was gilt für Telekommunikations- und Vertrauensdiensteanbieter?
Artikel 43 NIS2 hat die Artikel 40 und 41 des Europäischen Kodex für die elektronische Kommunikation (Richtlinie (EU) 2018/1972) mit Wirkung vom 18. Oktober 2024 gestrichen. Die Sicherheits- und Meldevorschriften für Telekommunikationsanbieter ergeben sich daher jetzt aus NIS2 in der jeweiligen nationalen Umsetzung. Siehe Verschlüsselung nach NIS2 und, für ihre Zulieferer, wie NIS2 bei Telekom-Zulieferern ankommt.
Für Vertrauensdiensteanbieter gelten die oben genannte Meldung binnen 24 Stunden und eigene Schwellenwerte in Artikel 14.
Was lassen die Regeln für kleine Cloud- und Hosting-Anbieter offen?
Welche Art Sie sind. Eine VPS-Plattform ist sehr wahrscheinlich ein Cloud-Computing-Dienst, Colocation ein Rechenzentrumsdienst, und Managed Hosting darüber kann Sie zum MSP machen. Ein einziger Ausfall kann zwei Kriteriensätze auslösen. Eine Behörde wird fragen, wie Sie die Zuordnung vorgenommen haben.
Wer als Nutzer zählt. Artikel 3 Absatz 3 der Durchführungsverordnung zählt Kunden mit Vertrag und die mit Geschäftskunden verbundenen Personen, die den Dienst nutzen. Die meisten kleinen Anbieter kennen die erste Zahl, nicht die zweite. Legen Sie die Zählmethode vor dem Sicherheitsvorfall fest.
Was „eingeschränkt“ bedeutet. Vollständige Nichtverfügbarkeit ist messbar. Für eingeschränkt gibt es keine Zahl: verdoppelte Latenz in einer Region, eine API, die für einige Mandanten ausfällt. Das Monitoring muss vollständige Nichtverfügbarkeit und eingeschränkte Verfügbarkeit trennen, je Dienst und mit Zeitstempeln, denn 30 Minuten und eine Stunde entscheiden darüber, ob Sie melden.
Physischer Zugang. Für einen Anbieter von Rechenzentrumsdiensten ist ein beeinträchtigter physischer Zugang für sich schon ein erheblicher Sicherheitsvorfall, Zutrittsprotokolle sind daher Beweismittel.
Die Begründungsakte. Nach Artikel 2 Absatz 2 der Durchführungsverordnung braucht jede Anforderung mit „soweit angemessen“, „soweit anwendbar“ oder „soweit durchführbar“, die Sie nicht anwenden, eine schriftliche Begründung, und diese Begründungen veralten, wenn sich der Dienst ändert.
Ein sinnvoller Ausgangspunkt ist ein Datenblatt je Angebot:
DATENBLATT JE ANGEBOT (NIS2, digitale Infrastruktur)
Angebot: z. B. VPS / Objektspeicher / Colocation / DNS
Art der Einrichtung: Cloud | Rechenzentrum | DNS | CDN | MSP | keine
Art. 6 erfüllt: ja / nein, Begründung in einer Zeile
Größe (Konzernzahlen): Kleinstunternehmen | klein | mittel | groß
Hauptniederlassung: Mitgliedstaat, Art. 26 Abs. 2, Stufe 1, 2 oder 3
Kriterien Vorfall: DVO Art. 3, 4 und 5 bis 9 oder 14
Nutzerzählung: Grundlage Art. 3 Abs. 3, zuletzt gezählt (Datum)
Nachweis Ausfall: Monitoring zeigt vollständig vs. eingeschränkt
Verantwortlich, Prüfung: Name, DatumUm diese Lücken zu schließen, braucht es ein Monitoring, das misst, was die Schwellenwerte messen, und Nachweise, die aus den Systemen erhoben und nicht erst vor einem Audit zusammengestellt werden. So arbeitet die CloudSoul-Plattform: automatisierte Erhebung, mit Human-in-the-Loop-Expertise für die Ermessensfragen. Die Sektorsicht finden Sie auf der Seite zum IKT-Sektor, das Gesamtprogramm auf der Seite NIS2-Compliance.
Checkliste NIS2 digitale Infrastruktur
- Ordnen Sie jedes Angebot anhand von Artikel 6 einer Art nach Anhang I Nummer 8 zu, oder keiner.
- Halten Sie Ihre Hauptniederlassung fest und die Stufe nach Artikel 26 Absatz 2, die sie bestimmt.
- Halten Sie Ihre Registerdaten nach Artikel 27 aktuell, einschließlich der IP-Adressbereiche.
- Nehmen Sie die Schwellenwerte der Durchführungsverordnung und eine Methode zur Nutzerzählung in Ihr Verfahren für Sicherheitsvorfälle auf.
- Sorgen Sie dafür, dass Ihr Monitoring vollständige Nichtverfügbarkeit von eingeschränkter Verfügbarkeit unterscheidet.
- Dokumentieren Sie jede „soweit angemessen“-Entscheidung mit Begründung.
- Testen Sie die 24-Stunden-Frühwarnung an einem realistischen Ausfall.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 6, 21, 23, 26, 27, 28, 32, 33, 34 und 43, Erwägungsgrund 35, Anhang I, EUR-Lex; Artikeltext auf nis-2-directive.com.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 2 bis 9, 14 und 16, Erwägungsgrund 8 und Anhang, EUR-Lex.
- Empfehlung 2003/361/EG der Kommission zur Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, EUR-Lex.
- RFC 4033, DNS Security Introduction and Requirements, RFC Editor.
Häufige Fragen
Fallen Cloud-Anbieter unter NIS2?
Ja, wenn sie mindestens mittlere Unternehmen sind. Anbieter von Cloud-Computing-Diensten stehen in Anhang I Nummer 8: Große Anbieter sind wesentliche Einrichtungen, mittlere wichtige Einrichtungen. Die Durchführungsverordnung (EU) 2024/2690 legt ihre detaillierten technischen Anforderungen fest.
Fallen kleine DNS-Anbieter unter NIS2?
Ja. DNS-Diensteanbieter und TLD-Namenregister sind nach Artikel 2 Absatz 2 unabhängig von ihrer Größe erfasst und nach Artikel 3 Absatz 1 Buchstabe b unabhängig von ihrer Größe wesentliche Einrichtungen. Betreiber von Root-Namenservern sind ausgenommen.
Fallen Rechenzentren unter NIS2?
Anbieter von Rechenzentrumsdiensten ab mittlerer Größe sind erfasst. Nach Erwägungsgrund 35 soll der Begriff nicht für interne Rechenzentren gelten, die sich im Besitz der betreffenden Einrichtung befinden und von ihr für eigene Zwecke betrieben werden.
Wann ist ein Cloud-Ausfall ein erheblicher Sicherheitsvorfall nach NIS2?
Nach Artikel 7 der Durchführungsverordnung (EU) 2024/2690, wenn der Dienst mehr als 30 Minuten lang vollständig nicht verfügbar ist oder wenn seine Verfügbarkeit für mehr als 5 % seiner Nutzer in der EU oder für mehr als 1 Mio. Nutzer, je nachdem, welche Zahl niedriger ist, länger als eine Stunde eingeschränkt ist. Außerdem gelten Kriterien für beeinträchtigte Daten.
Welcher Staat beaufsichtigt einen Cloud- oder DNS-Anbieter nach NIS2?
Der Mitgliedstaat seiner Hauptniederlassung in der EU: dort, wo die Entscheidungen über die Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden, andernfalls dort, wo die Cybersicherheitsmaßnahmen durchgeführt werden, andernfalls dort, wo er die meisten Beschäftigten in der EU hat (Artikel 26).
