Artikel 31 VO (EU) 2024/1366

(1) Spätestens 24 Monate nach der Annahme der in Artikel 28 Absatz 1 Buchstaben a, b und c genannten Kontrollen und der Einrichtung des in Buchstabe d jenes Artikels genannten Cybersicherheitsmanagementsystems muss jede gemäß Artikel 24 Absatz 1 ermittelte Einrichtung mit kritischen Auswirkungen in der Lage sein, auf Verlangen der zuständigen Behörde nachzuweisen, dass sie das Cybersicherheitsmanagementsystem und die Mindest-Cybersicherheitskontrollen oder die erweiterten Cybersicherheitskontrollen anwendet.

(2) Jede Einrichtung mit kritischen Auswirkungen muss die in Absatz 1 genannte Verpflichtung erfüllen, indem sie sich einem von unabhängigen Dritten durchgeführten Sicherheitsaudit gemäß den Anforderungen aus Artikel 25 Absatz 2 unterzieht oder sich an einem nationalen Überprüfungssystem gemäß Artikel 25 Absatz 1 beteiligt.

(3) Die Überprüfung, ob eine Einrichtung mit kritischen Auswirkungen das Cybersicherheitsmanagementsystem und die Mindest-Cybersicherheitskontrollen oder die erweiterten Cybersicherheitskontrollen anwendet, erstreckt sich auf alle Vermögenswerte der Einrichtung mit kritischen Auswirkungen innerhalb ihres Perimeters mit kritischen Auswirkungen.

(4) Die Überprüfung, ob eine Einrichtung mit kritischen Auswirkungen das Cybersicherheitsmanagementsystem und die Mindest-Cybersicherheitskontrollen oder die erweiterten Cybersicherheitskontrollen anwendet, wird regelmäßig wiederholt, nämlich spätestens 36 Monate nach Ende der ersten Überprüfung und alle drei Jahre danach.

(5) Jede gemäß Artikel 24 ermittelte Einrichtung mit kritischen Auswirkungen muss die Einhaltung der in Artikel 28 Absatz 1 Buchstaben a, b und c genannten Kontrollen und die Einrichtung des unter Buchstabe d jenes Artikels genannten Cybersicherheitsmanagementsystems nachweisen, indem sie der zuständigen Behörde über das Ergebnis der Überprüfung der Einhaltung Bericht erstattet.