Regierungsplan

Der Regierungslan legt die Aktionen der Regierung im Falle von technischen Schwachstellen oder schwerwiegenden Angriffen auf die Informationssysteme des öffentlichen Sektors und/oder der Privatwirtschaft fest.

Die konkreten Maßnahmen werden zu gegebener Zeit von den für die nationale Sicherheit zuständigen Behörden beschlossen, der Öffentlichkeit bekanntgegeben und von den zuständigen Behörden und Dienststellen umgesetzt.

Ziele 

Dieser vom Regierungsrat am 12. September 2025 verabschiedete Regierungsplan verfolgt folgende Ziele:

• die Verbesserung der Vorsorge, Prävention und des Schutzes vor cyber- und digitalen Risiken;
• die Festlegung der Governance-Grundsätze und der Krisenmanagementgremien, die für eine wirksame nationale Koordination erforderlich sind;
• die allgemeinen Modalitäten für die Reaktion auf und das Management von Krisensituationen sowie die jeweiligen Rollen der beteiligten Akteure festzulegen;
• den Rahmen für die Auslösung von Warnmeldungen durch die Behörden und die Information der Öffentlichkeit festzulegen.

Er gilt für Situationen, in denen die tatsächliche oder potenzielle Schwere eines Ereignisses dringende Entscheidungen und eine Koordinierung auf nationaler Ebene sowie gegebenenfalls eine Abstimmung mit den europäischen und internationalen Krisenbewältigungsmechanismen erfordert.

Nationaler und europäischer Rahmen

Der Plan ist Teil des nationalen Krisenmanagementsystems, das vom Hochkommissariat für nationale Sicherheit (HCPN) koordiniert wird, und steht im Einklang mit den europäischen Rahmenwerken für Cybersicherheit und Krisenmanagement, insbesondere:

• Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, bekannt als NIS-2-Richtlinie; 
• Die Empfehlung des Rates vom 6. Juni 2025 zu einem EU-Konzept für das Krisenmanagement im Bereich der Cybersicherheit („Cyber Blueprint“); 
• Europäische Mechanismen für die Zusammenarbeit und Koordinierung in Krisenfällen, wie die integrierte EU-Regelung für die politische Reaktion auf Krisen (IPCR) und das Europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe) für die operative Ebene.

Diese Positionierung gewährleistet die Kohärenz zwischen der Reaktion Luxemburgs und den europäischen Ansätzen, insbesondere wenn Cyberkrisen über die nationalen Grenzen hinausgehen.

Nationale Klassifizierung von Cybersicherheitsvorfällen

Um eine schnelle, angemessene und koordinierte Reaktion zu gewährleisten, unterscheidet der nationale Rahmen zwischen:

• Grenzüberschreitender Cybersicherheitsvorfall großen Ausmaßes: Sicherheitsvorfall, der eine Störung verursacht, deren Ausmaß die Reaktionsfähigkeit Luxemburgs übersteigt, oder der beträchtliche Auswirkungen auf mindestens einen anderen Mitglied- oder einen Drittstaat hat;
• Nationaler Cybersicherheitsvorfall großen Ausmaßes: Sicherheitsvorfall, der eine Störung verursacht, die eine Gefahr für die lebenswichtigen Interessen oder die Grundbedürfnisse des gesamten Landes oder eines Teils davon oder der Bevölkerung darstellt und dringende Entscheidungen und Koordinierungsmaßnahmen erfordert;
• Erheblicher Sicherheitsvorfall: ein Sicherheitsvorfall, der݉ schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann; andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann;
• Sicherheitsvorfall: ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über Netz- und Informationssysteme angeboten werden bzw. zugänglich sind, beeinträchtigt.

Diese Klassifizierung wird verwendet, um das Ausmaß des Vorfalls zu bewerten und die Art der Zusammenarbeit und den Grad der Mobilisierung der beteiligten Akteure anzupassen.

Regierungsplan