Essenzielle Einrichtungen müssen Cybermaßnahmen bis 15. März via SERIMA melden

Essenzielle Einrichtungen unter der Aufsicht des Institut Luxembourgeois de Régulation müssen die nach Artikel 12 Absätze 1 und 2 des Gesetzes vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau erforderlichen Risikomanagementmaßnahmen melden.Public Die Meldung umfasst eine Beschreibung der bestehenden Maßnahmen, eine Analyse der wichtigsten Cyberrisikoszenarien im Zusammenhang mit der Tätigkeit oder Dienstleistung der Einrichtung sowie einen mehrjährigen AktionsplanPublic, wobei zusätzliche vom Institut angeforderte Informationen innerhalb der in der Anfrage gesetzten Frist zu liefern sind.

Die Beschreibung deckt vierzehn Bereiche ab: Engagement und Verantwortung des Leitungsorgans; Politik zur Sicherheit von Netzen und Informationssystemen; Risikomanagementpolitiken; Vorfallmanagement; Aufrechterhaltung des Betriebs und Krisenmanagement; Sicherheit der Lieferkette; Sicherheit von Beschaffung, Entwicklung und Wartung von Netzen und Informationssystemen; Politiken und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen; grundlegende Cyberhygiene und Schulung zur Informationssicherheit; Kryptografie; Personalsicherheit; Zugangskontrolle; Vermögensverwaltung; sowie physische und Umgebungssicherheit. Einzelheiten und Umfang ergeben sich aus dem Dokument des Instituts mit dem Titel Mesures, das auf der Website des Instituts aktualisiert wird und unter https://www.serima.lu/mesures abrufbar ist.

Die Risikoanalyse nennt für jedes Hauptszenario die bewertete Auswirkungsstufe, die bewertete Eintrittswahrscheinlichkeit, die Risikobehandlung und das Restrisikoniveau. Eine Liste der zu analysierenden generischen Szenarien steht in dem Dokument des Instituts mit dem Titel Analyse des principaux scénarios de risques cyber auf derselben Seite, und das Institut kann sektor- oder einrichtungstypspezifische Szenarien hinzufügen.

Der mehrjährige Plan führt laufende oder geplante Maßnahmen auf, die das Cybersicherheitsniveau erhöhen und Feststellungen aus der Beschreibung und der Risikoanalyse aufgreifen. Für jede Maßnahme nennt er die konkrete Maßnahme, das oder die geminderte Risikoszenarien, die adressierte Maßnahme oder Maßnahmen, den Zieldurchführungstermin, die für die Ausführung verantwortliche Rolle und die Priorität der Umsetzung.

Essenzielle Einrichtungen, die zugleich als kritische Einrichtungen im Sinne von Artikel 2 Nummer 1 des Gesetzes vom 5. Mai 2026 über die Resilienz kritischer Einrichtungen erfasst sind, müssen zusätzlich eine Liste der Abhängigkeiten von direkten Lieferanten oder Dienstleistern einreichen.Public Eine Abhängigkeit liegt vor, wenn die Tätigkeit der Einrichtung oder die Erbringung ihrer eigenen Dienste den Rückgriff auf eine oder mehrere andere Einrichtungen erfordert.

Die Meldung ist jedes Jahr spätestens zum 15. März fälligPublic, auch wenn sich seit der vorherigen Meldung nichts geändert hatPublic, sowie erneut bei jeder wesentlichen Änderung des Risikoniveaus, bei Feststellung eines neuen wesentlichen Risikos oder bei Umsetzung besonders wichtiger SicherheitsmaßnahmenPublic. Sie wird über die SERIMA-Plattform unter https://www.serima.lu oder ein anderes vom Institut als gleichwertig anerkanntes sicheres Mittel eingereichtPublic, in einem vom Institut verarbeitbaren Format.

Rechtsgrundlage sind Artikel 12 Absatz 3, Artikel 21 Absatz 1 und Artikel 22 Absatz 2 des Gesetzes vom 5. Mai 2026 über Maßnahmen für ein hohes Cybersicherheitsniveau sowie Artikel 2 Nummer 1 des Gesetzes vom 5. Mai 2026 über die Resilienz kritischer Einrichtungen.Public Das Règlement ILR/N26/10 vom 26. Oktober 2026Public hebt das Règlement ILR/N22/7 vom 15. September 2022 und das Règlement ILR/N22/8 vom 26. September 2022 auf.