Filter Fördermittelsuche
Call Navigation
Call-Eckdaten
Koordinierte Bereitschaftstests und andere Bereitschaftsmaßnahmen
Förderprogramm
Digitales Europa
Call Nummer
DIGITAL-ECCC-2025-DEPLOY-CYBER-09-COORDPREP
Termine
Öffnung
28.10.2025
Deadline
31.03.2026 17:00
Förderquote
50%
Budget des Calls
€ 10.000.000,00
Geschätzter Beitrag der EU pro Projekt
€ 1.500.000,00
Link zum Call
Link zur Einreichung
Call-Inhalte
Kurzbeschreibung
Dieses Thema umfasst Maßnahmen aus dem Cyber-Solidaritätsgesetz, die dem Cybersicherheits-Notfallmechanismus gewidmet sind, nämlich koordinierte Bereitschaftstests von Einrichtungen, die in Sektoren von hoher Kritikalität in der gesamten Union tätig sind, insbesondere im Gesundheitssektor, vor allem in Krankenhäusern, und im Bereich der digitalen Infrastruktur, einschließlich des Sektors der elektronischen Kommunikation, und insbesondere der Festnetze und der Unterwasserkabelinfrastruktur.
Call-Ziele
Diese Maßnahmen zielen darauf ab, die Bemühungen der Mitgliedstaaten und der Union zur Verbesserung des Schutzes und der Widerstandsfähigkeit gegenüber Cyber-Bedrohungen, insbesondere für kritische Industrieanlagen und -infrastrukturen, zu ergänzen und nicht zu überschneiden, indem die Mitgliedstaaten in ihren Bemühungen unterstützt werden, ihre Bereitschaft für Cyber-Bedrohungen und -Vorfälle zu verbessern, indem ihnen Wissen und Fachkenntnisse zur Verfügung gestellt werden.
Die Vorschläge sollten zu koordinierten Bereitschaftstests von Einrichtungen beitragen, die in hochkritischen Sektoren in der gesamten Union tätig sind (einschließlich Penetrationstests und Bedrohungsbewertung), wobei sowohl IKT als auch Betriebstechnik/Industrielle Kontrollsysteme berücksichtigt werden.
Die Bereitstellung von Unterstützungsdiensten für die Abwehrbereitschaft umfasst die nachstehend aufgeführten Tätigkeiten für Einrichtungen in den Sektoren oder Teilsektoren, die von der Kommission gemäß dem Gesetz über die Cyber-Solidarität aus den in Anhang I der Richtlinie (EU) 2022/2555 aufgeführten und in der Aufforderung zur Einreichung von Vorschlägen für jede Aufforderung zu diesem Thema genannten Sektoren mit hoher Kritikalität ausgewählt wurden.
Für das Jahr 2025 sind die ausgewählten Sektoren das Gesundheitswesen, insbesondere Krankenhäuser, und der Bereich der digitalen Infrastruktur, einschließlich der elektronischen Kommunikation, insbesondere Festnetze und Unterwasserkabelinfrastrukturen.
Die Anträge können sich auf mehr als einen Sektor beziehen. Ausgewählte Vorschläge auf Aufforderungsebene müssen alle ausgewählten Sektoren und Teilsektoren abdecken.
Der Anwendungsbereich umfasst die Unterstützung bei der Prüfung auf potenzielle Schwachstellen:
- Entwicklung von Penetrationstestszenarien. Die vorgeschlagenen Szenarien können Netze, Anwendungen, Virtualisierungslösungen, Cloud-Lösungen, industrielle Steuerungssysteme und IoT abdecken.
- Unterstützung bei der Durchführung von Tests für wesentliche und wichtige Einrichtungen, die kritische Infrastrukturen betreiben, auf potenzielle Schwachstellen (Schwachstellen-Scanning).
- Unterstützung für die Einführung digitaler Werkzeuge und Infrastrukturen, die die Durchführung von Testszenarien und Übungen ermöglichen, wie z. B. die Entwicklung standardisierter Cyberbereiche oder anderer Testeinrichtungen, die in der Lage sind, Merkmale hochkritischer Sektoren nachzuahmen (Anhang I der Richtlinie (EU) 2022/2555), um die Durchführung von Cyberübungen zu erleichtern, insbesondere im Rahmen grenzüberschreitender Szenarien, wo dies relevant ist.
- Bewertung, einschließlich Sicherheitsaudits, und/oder Erprobung der Cybersicherheitsfähigkeiten von MS-Stellen und MS-Sektoren (einschließlich der Fähigkeiten zur Verhinderung, Erkennung und Reaktion auf Vorfälle und Stresstests für den gesamten Sektor), Bewertungs- und Einhaltungsmaßnahmen zur Erhöhung des Reifegrads, z. B. auf der Grundlage etablierter Reifegradmodelle und/oder einschlägiger Bewertungs- und Einhaltungsregelungen.
- Bewertung, einschließlich Sicherheitsaudits, und/oder Prüfung der Cybersicherheitsfähigkeiten der betroffenen Einrichtungen (auch zur Bewertung und zum Management von Risiken in der Lieferkette).
- Beratungsdienste, die Empfehlungen zur Verbesserung der Sicherheit und der Fähigkeiten der Infrastruktur geben.
Unterstützung bei der Bedrohungs- und Risikobewertung, z. B.:
- Implementierung von Bedrohungsbewertungsprozessen und deren Lebenszyklus
- Analyse maßgeschneiderter Risikoszenarien
Die Unterstützung richtet sich an die zuständigen Behörden in den Mitgliedstaaten, die eine zentrale Rolle bei der Umsetzung der NIS-2-Richtlinie spielen, wie z. B. die Computer Security Incident Response Teams (CSIRTs) und die nationalen Cybersicherheitsbehörden.
Die Cyber-Solidaritätsakte sieht auch vor, dass die koordinierten Bereitschaftstests unter Verwendung gemeinsamer Risikoszenarien und Methoden durchgeführt werden sollten, die von der NIS-Kooperationsgruppe in Zusammenarbeit mit der Kommission, dem EAD, der ENISA und - im Rahmen ihres Mandats - EU-CyCLONe entwickelt werden sollten.
Risikoszenarien sind eine Schlüsselkomponente für die Durchführung koordinierter Bereitschaftstests. Aufbauend auf Risiken und Schwachstellen, die zuvor in sektoralen, nationalen und/oder EU-weiten Risikobewertungen ermittelt wurden, unterstützen und leiten Risikoszenarien koordinierte Bereitschaftstests, indem sie "Was-wäre-wenn"-Situationen schaffen, in denen die Auswirkungen des Eintretens von Risiken gemessen werden.
Bei der Entwicklung von Risikoszenarien werden in der Regel Merkmale wie Schweregrad, Wahrscheinlichkeit und Eskalationsstufen im Vergleich zu einer Ausgangslage berücksichtigt. Die Stufen der Verschärfung sind der Schlüssel zu einer realistischen Bewertung der Widerstandsfähigkeit unter zunehmendem Druck. Eine schrittweise Verschärfung des Schweregrads kann entweder durch die Skalierung der Auswirkungen eines einzelnen Szenarios oder durch die Schichtung mehrerer Unterszenarien oder Angriffsvektoren für jede Variante erfolgen.
Die für diese Aufforderung vorgeschlagenen Risikoszenarien beziehen sich auf 3 verschiedene kritische Sektoren:
- Für den Gesundheitssektor - Risikoszenarien, die Krankenhäuser betreffen;
- Für den Bereich der digitalen Infrastruktur - Risikoszenarien, die Unterseekabelinfrastrukturen betreffen;
- für den Bereich der digitalen Infrastrukturen - Risikoszenarien für Festnetze.
Die Risikoszenarien sind in Kapitel 4 des Anhangs 3 ausführlich beschrieben. Sie verfolgen einen mehrschichtigen Ansatz, bei dem ein Basisszenario und zwei zusätzliche Szenarien (mit Verschärfungsgraden) verwendet werden, die jeweils das vorhergehende Szenario verstärken.
In Anhang 3 wird eine Methodik vorgeschlagen, die bei der koordinierten Bereitschaftsprüfung in den drei Teilsektoren verwendet werden könnte. Die Methodik könnte für die drei Teilsektoren unterschiedlich sein.
Jeder Antragsteller kann unter den vorgeschlagenen Risikoszenarien dasjenige auswählen, das er für die (im Vorschlag enthaltene) nationale Maßnahme verwenden möchte. Der Vorschlag sollte jedoch mindestens ein Basisszenario enthalten (das erste Szenario für jeden der drei Teilsektoren in Anhang 3). Die Antragsteller können die Szenarien anpassen und zusätzlich zu den allgemeinen EU-weiten Risikoszenarien Elemente einbeziehen, die auf ihrem nationalen Kontext basieren. Die Mitgliedstaaten können sich dafür entscheiden, die in Anhang 3 vorgeschlagenen Szenarien mit höherer Intensität einzubeziehen. Für die nationalen Maßnahmen werden die Antragsteller ermutigt, systemische Risiken zu untersuchen, indem sie auch die Dimension der Lieferkette und gegenseitige Abhängigkeiten berücksichtigen.
Die Antragsteller können auch erwägen, die Risikoszenarien zu erweitern, um die kumulativen Auswirkungen mehrerer, möglicherweise kleinerer Vorfälle zu berücksichtigen. Dazu können Vorfälle gehören, die einzelne Organisationen betreffen, sowie Unterbrechungen der Versorgungskette, die parallel zum Hauptszenario auftreten. Darüber hinaus werden die Antragsteller ermutigt, den Schwerpunkt auf verschiedene Arten von Vorfällen zu legen, darunter Systemausfälle, menschliches Versagen, böswillige Handlungen und Naturereignisse.
Die Ergebnisse der koordinierten Bereitschaftstests könnten in den Sanierungsplan der getesteten Einrichtung aufgenommen werden und sind der Behörde des Mitgliedstaats zur Überprüfung der Ergebnisse der Maßnahme zu übermitteln. Diese Erkenntnisse sollten in anonymisierter und aggregierter Form an die Kommission weitergegeben werden. In den einschlägigen Arbeitsgruppen der NIS-Kooperationsgruppe könnte eine Folgediskussion geführt werden.
Die koordinierte Bereitschaftsprüfung umfasst 3 Hauptphasen:
- Phase der Analyse des systemischen Risikos - In dieser Phase erfolgt eine Bewertung des systemischen Risikos auf höherer Ebene:
- Identifizierung der Hauptakteure
- Entscheidung über den Umfang
- Verfeinerung der Risikoszenarien
- Testphase - In dieser Phase findet der Test statt. Dies kann in Form von:
- Schwachstellen-Scanning
- Sicherheits-Audits
- Penetrationstests
- Übungen
- (Cyber-Resilienz-)Stresstests
- C. Lückenanalysephase - In dieser Phase werden die Ergebnisse der koordinierten Bereitschaftstests in umsetzbare Empfehlungen umgewandelt:
- Identifizierung von Lücken
- Empfehlungen
- Aktionsplan
weiterlesen
Erwartete Effekte und Auswirkungen
KPIs zur Messung der Ergebnisse und Leistungen
Die Antragstellenden müssen für die Maßnahme relevante Leistungsindikatoren und Messgrößen angeben, um Fortschritte und Leistungen zu messen.
Die Vorschläge können die unten aufgeführten Indikatoren oder solche ihrer Wahl enthalten. Falls zutreffend, müssen Ausgangs- und Zielwerte angegeben werden.
- Anzahl der durchgeführten Penetrationstests
- Anzahl der unterstützten wesentlichen und wichtigen Einrichtungen
- Anzahl der durchgeführten Bedrohungsbewertungen/Risikoszenarioanalysen
- Anzahl der erbrachten Risikoüberwachungsdienste
- Anzahl der pro Test/Übung erfassten potenziellen Nutzer*innen
- Anzahl und Art der entdeckten Schwachstellen
- Anzahl der grenzüberschreitenden Aktionen/Übungen
Angesprochene Interessengruppen
Öffentliche Einrichtungen, die als für Cybersicherheit zuständige Behörden oder CSIRTs fungieren. Öffentliche Einrichtungen, die der NIS-2-Richtlinie, CRA, CSA, CSoA, DORA usw. unterliegen
Beiträge von Konsortien sind zwar nicht obligatorisch, tragen aber positiv zur Wirkung der Aktion bei.
weiterlesen
Erwartete Ergebnisse
- Verbesserte Zusammenarbeit, Bereitschaft und Widerstandsfähigkeit im Bereich der Cybersicherheit in der EU; Dienste zur Unterstützung der Bereitschaft
- Dienstleistungen wie: Bedrohungsbewertung, Risikobewertungsdienste, Sicherheitsaudits, Scannen nach Schwachstellen, Übungen, Stresstests für den gesamten Sektor oder Teile davon.
Förderfähigkeitskriterien
Förderregion/-länder
Island (Ísland), Liechtenstein, Norwegen (Norge)
förderfähige Einrichtungen
Aus- und Weiterbildungseinrichtung, Forschungseinrichtung inkl. Universität, Kleines und mittleres Unternehmen (KMU), Non-Profit-Organisation (NPO) / Nichtregierungsorganisation (NGO), Private Einrichtung, inkl. privates Unternehmen (privat und gewinnorientiert), Sonstige, Öffentliche Einrichtung (national, regional und lokal; inkl. EVTZ)
verpflichtende Partnerschaft
Nein
Projektpartnerschaft
Um förderfähig zu sein, müssen die Antragstellenden (Begünstigte und angeschlossene Einrichtungen):
- juristische Personen sein (öffentliche oder private Einrichtungen)
- ihren Sitz in einem der förderfähigen Länder haben, d. h:
- EU-Mitgliedstaaten (einschließlich der überseeischen Länder und Gebiete (ÜLG))
- EWR-Länder (Norwegen, Island, Liechtenstein)
Andere Einrichtungen können in anderen Funktionen am Konsortium teilnehmen, z. B. als assoziierte Partner, Unterauftragnehmer, Dritte, die Sachleistungen erbringen, usw. Bitte beachten Sie jedoch, dass alle Themen dieser Aufforderung aus Sicherheitsgründen Einschränkungen unterliegen. Daher dürfen Einrichtungen nicht direkt oder indirekt von einem Land aus kontrolliert werden, das nicht zu den förderfähigen Ländern gehört. Alle Einrichtungen müssen eine Erklärung über Eigentumsverhältnisse und Kontrolle ausfüllen und einreichen.
Darüber hinaus:
- Die Teilnahme in jeglicher Eigenschaft (als Begünstigter, verbundenes Unternehmen, assoziierter Partner, Unterauftragnehmer oder Empfänger finanzieller Unterstützung für Dritte) ist auf Unternehmen beschränkt, die in förderfähigen Ländern ansässig sind und von diesen kontrolliert werden.
- die Projektaktivitäten (einschließlich der Arbeiten im Rahmen von Unteraufträgen) müssen in förderfähigen Ländern durchgeführt werden
- Finanzielle Unterstützung für Dritte ist im Rahmen dieser Aufforderung zu keinem Thema zulässig.
weitere Förderkriterien
Besondere Fälle
Natürliche Personen sind NICHT förderfähig (mit Ausnahme von Selbstständigen, d. h. Einzelunternehmern, bei denen das Unternehmen keine von der natürlichen Person getrennte Rechtspersönlichkeit besitzt).
Internationale Organisationen sind NICHT förderfähig, es sei denn, es handelt sich um internationale Organisationen von europäischem Interesse im Sinne von Artikel 2 der Verordnung "Digitales Europa" (d. h. internationale Organisationen, deren Mitglieder mehrheitlich Mitgliedstaaten sind oder deren Sitz sich in einem Mitgliedstaat befindet).
Einrichtungen, die nach ihrem nationalen Recht keine Rechtspersönlichkeit besitzen, können ausnahmsweise teilnehmen, sofern ihre Vertreter in der Lage sind, in ihrem Namen rechtliche Verpflichtungen einzugehen, und Garantien für den Schutz der finanziellen Interessen der EU bieten, die denen von juristischen Personen gleichwertig sind.
EU-Einrichtungen (mit Ausnahme der Gemeinsamen Forschungsstelle der Europäischen Kommission) können NICHT Teil des Konsortiums sein.
Einrichtungen, die aus Mitgliedern bestehen, können als "Alleinbegünstigte" oder "Begünstigte ohne Rechtspersönlichkeit" teilnehmen. Bitte beachten Sie, dass, wenn die Maßnahme von den Mitgliedern durchgeführt wird, diese auch teilnehmen sollten (entweder als Begünstigte oder als verbundene Einrichtungen, da ihre Kosten sonst NICHT förderfähig sind).
Begünstigte aus Ländern, über deren Teilnahme am Programm derzeit verhandelt wird (siehe Liste der teilnehmenden Länder oben), können sich an der Aufforderung beteiligen und Finanzhilfen unterzeichnen, wenn die Verhandlungen vor der Unterzeichnung der Finanzhilfe abgeschlossen sind und wenn die Assoziation die Aufforderung abdeckt (d. h. rückwirkend ist und sowohl den Teil des Programms als auch das Jahr abdeckt, in dem die Aufforderung veröffentlicht wurde).
Für Einrichtungen, die restriktiven Maßnahmen der EU gemäß Artikel 29 des Vertrags über die Europäische Union (EUV) und Artikel 215 des Vertrags über die Arbeitsweise der EU (AEUV) unterliegen, gelten besondere Regeln. Solche Einrichtungen sind in keiner Weise teilnahmeberechtigt, auch nicht als Begünstigte, verbundene Einrichtungen, assoziierte Partner, Unterauftragnehmer oder Empfänger von finanzieller Unterstützung für Dritte (falls vorhanden).
Besondere Regeln gelten für Einrichtungen, die Maßnahmen unterliegen, die auf der Grundlage der EU-Verordnung 2020/2092 angenommen wurden. Diese Einrichtungen können keine geförderte Rolle übernehmen (Begünstigte, verbundene Einrichtungen, Unterauftragnehmer, Empfänger von finanzieller Unterstützung für Dritte usw.). Derzeit gelten solche Maßnahmen für ungarische Stiftungen von öffentlichem Interesse, die gemäß dem ungarischen Gesetz IX von 2021 gegründet wurden, oder für alle Einrichtungen, die sie unterhalten (siehe Durchführungsbeschluss (EU) 2022/2506 des Rates, Stand 16. Dezember 2022).
Zusatzinformationen
Themen
Relevanz für EU-Makroregion
EUSAIR - EU Strategie für den adriatischen-ionischen Raum, EUSALP - EU Strategie für den Alpenraum, EUSBSR - EU Strategie für den Ostseeraum, EUSDR - EU Strategie für den Donauraum
UN Nachhaltigkeitsziele (UN-SDGs)
Projektlaufzeit
24 Monate
Zusätzliche Informationen
Die Anträge müssen elektronisch über das elektronische Einreichungssystem des Funders & Tenders Portal eingereicht werden (zugänglich über die Themenseite im Bereich Search Funding & Tenders ). Einreichungen auf Papier sind NICHT möglich.
Die Vorschläge müssen vollständig sein und alle geforderten Informationen sowie alle erforderlichen Anhänge und Nachweise enthalten:
- Antragsformular Teil A - enthält verwaltungstechnische Angaben zu den Teilnehmern (künftiger Koordinator, Begünstigte und angeschlossene Einrichtungen) und den zusammengefassten Finanzplan für das Projekt (direkt online auszufüllen)
- Antragsformular Teil B - enthält die technische Beschreibung des Projekts (Vorlage, die vom Portal Submission System heruntergeladen, ausgefüllt, zusammengestellt und wieder hochgeladen werden muss)
- obligatorische Anhänge und unterstützende Dokumente (Vorlagen, die vom Portal Submission System heruntergeladen, ausgefüllt, zusammengestellt und wieder hochgeladen werden müssen):
- Erklärungen zur Eigentumskontrolle (auch für assoziierte Partner und Unterauftragnehmer)
Die Vorschläge sind auf maximal 70 Seiten begrenzt (Teil B).
Call-Dokumente
DIGITAL-ECCC-2025-DEPLOY-CYBER-09DIGITAL-ECCC-2025-DEPLOY-CYBER-09(808kB)
Kontakt
Website
European Cybersecurity Competence Centre and Network (ECCC) - National Coordination Centres
applicants@eccc.europa.eu
Website
Um mehr Informationen zu diesem Call zu sehen, können Sie sich hier kostenlos registrieren
oder mit einem bestehenden Account anmelden.
Anmelden
Jetzt Registrieren



