NCA und Essential Cybersecurity Controls ECC-2:2024: wer muss, wer soll, und wie DCC, OTCC und TCC dazu stehen

Problem in der Praxis

Der häufigste Fehler ist ein Analogieschluss aus Europa: Wer NIS-2 oder das deutsche KRITIS-Recht kennt, sucht nach Sektorlisten und Schwellenwerten und schließt aus deren Fehlen, die ECC beträfen nur Behörden. Der Geltungsbereich der ECC-2:2024 knüpft aber an zwei andere Merkmale an: an die Zugehörigkeit zum staatlichen Bereich und an Besitz, Betrieb oder Hosting kritischer nationaler Infrastruktur. Welche Infrastruktur kritisch ist, bestimmt nach Art. 4 Nr. 3 des Statuts die NCA selbst, und nach Art. 7 Nr. 3 genehmigt ihr Board die Einstufung. Die Snapshots enthalten weder eine Sektorliste noch Schwellenwerte noch ein Verfahren, wie eine Einstufung dem Betroffenen mitgeteilt wird.

Der zweite Fehler betrifft Zulieferer. Ein Unternehmen ohne eigene Pflicht wird trotzdem mit ECC-Anforderungen konfrontiert, weil verpflichtete Kunden die Anforderungen an Dritte in ihre Verträge übernehmen müssen. Für Cloud-Anbieter reicht das weiter: Wer Cloud-Kunden aus dem Geltungsbereich bedient, muss nach den CCC-2:2024 ECC und CCC selbst fortlaufend einhalten, auch wenn er selbst nicht in den Geltungsbereich der ECC fällt (siehe saudi-arabien-003). Wer ausgelagerte Cybersicherheitsdienste anbietet, trifft auf eine Standortanforderung: Nach Control 4-1-3-2 der ECC-2:2024 müssen Cybersicherheits-Managed-Service-Zentren für Überwachung und Betrieb, die Fernzugriff nutzen, vollständig im Königreich liegen. Ein aus Deutschland betriebenes Security Operations Center passt dazu nicht.

Der dritte Fehler ist die Verwechslung von Leitfaden und Norm. Die NCA veröffentlicht einen Umsetzungsleitfaden zur ECC, der in vielen Teams als eigentlicher Anforderungstext gelesen wird. Der Leitfaden sagt selbst, dass er nur ein illustratives Modell ist.

CISO-Einordnung

Die NCA und ihr Mandat. Das Statut der NCA wurde durch Königlichen Befehl Nr. 6801 erlassen, den das Statut auf den 31.10.2017 und die ECC-2:2024 auf den 11.02.1439 AH datieren, und durch Königlichen Befehl Nr. 7053 vom 09.09.2021 geändert. Die NCA hat eigene Rechtspersönlichkeit, finanzielle und administrative Unabhängigkeit, berichtet an den König und hat ihren Sitz in Riad (Art. 2). Ihre Aufgaben nach Art. 4 reichen von der nationalen Strategie über Rahmenwerke und deren Compliance-Überwachung, die Identifizierung und Einstufung kritischer Infrastruktur, nationale Verschlüsselungsstandards und die Lizenzierung von Einfuhr, Ausfuhr und Nutzung hochsensibler Cybersicherheits-Hard- und Software bis zur Lizenzierung von Personen und nichtstaatlichen Stellen für bestimmte Cybersicherheitstätigkeiten. Art. 3 stellt klar, dass öffentliche und private Stellen ihre Verantwortung für die eigene Cybersicherheit nicht an die NCA abgeben.

Art. 10 des Statuts verpflichtet die "relevant agencies" unter anderem, die NCA unverzüglich über tatsächliche oder mögliche Verletzungen, Risiken oder Bedrohungen ihrer Cybersicherheit zu unterrichten, ihre Rahmenwerke und Standards einzuhalten, bei Untersuchungen und Bewertungen voll mitzuwirken und Unterlagen sowie die Inspektion von Geräten, Netzen, Systemen und Software zu ermöglichen. Wer "relevant agencies" sind, definiert das Statut im vorliegenden Text nicht. Art. 10 Nr. 3 ist zusammen mit dem Hohen Befehl Nr. 57231 vom 10.11.1439 AH die Rechtsgrundlage, auf die sich die ECC-2:2024 für die Pflicht zur fortlaufenden Einhaltung stützt.

Wer muss. Der Abschnitt "Scope of Work" der ECC-2:2024 nennt staatliche Stellen des Königreichs, also Ministerien, Behörden, Einrichtungen und andere, sowie deren verbundene Gesellschaften und Einheiten innerhalb und außerhalb des Königreichs, ferner alle Privatunternehmen, die CNI besitzen, betreiben oder hosten. CNI definiert der Anhang als wesentliche Infrastrukturelemente einschließlich des Schlüsselpersonals, deren Verlust oder Kompromittierung erhebliche Folgen für grundlegende Dienste, Leib und Leben, Eigentum oder nationale Sicherheit, Verteidigung und Wirtschaft haben kann. Das Wort "hosten" verdient Aufmerksamkeit: Es kann auch Dienstleister erfassen, die CNI für andere beherbergen. Welche Infrastruktur kritisch ist, identifiziert und stuft nach Art. 4 Nr. 3 des Statuts die NCA ein; eine Selbsteinschätzung ersetzt diese Einstufung nicht.

Wer soll. Alle anderen Stellen im Königreich ermutigt die NCA nachdrücklich, die Controls als gute Praxis zu nutzen. Das ist eine Empfehlung. Für den deutschen Mittelstand mit Vertriebsgesellschaft in Riad ist es in der Regel genau diese Ebene, solange keine CNI-Einstufung, kein staatlicher Anteilseigner und keine Cloud-Leistung für Kunden aus dem Geltungsbereich im Spiel ist. Was "verbundene Gesellschaften" einer staatlichen Stelle genau sind, etwa bei einem Gemeinschaftsunternehmen mit staatlicher Beteiligung, regeln die Snapshots nicht.

Anwendbarkeit innerhalb des Geltungsbereichs. Jede verpflichtete Stelle muss alle auf sie anwendbaren Controls einhalten. Die Anwendbarkeit hängt vom Geschäft und von der Technik ab; als Beispiel nennt die ECC-2:2024 die Controls zu Cloud Computing und Hosting, die für Stellen verbindlich sind, die solche Dienste nutzen oder ihre Nutzung planen.

Aufbau auf Domänenebene. Die ECC-2:2024 gliedert sich nach ihrer Einleitung in 4 Hauptdomänen, 28 Subdomänen, 108 Hauptcontrols und 92 Subcontrols. Die vier Hauptdomänen sind Cybersecurity Governance, Cybersecurity Defense, Cybersecurity Resilience sowie Third-Party and Cloud Computing Cybersecurity. Jede Subdomäne trägt ein Ziel und nummerierte Controls; die Kennung folgt dem Schema Hauptdomäne, Subdomäne, Control, Subcontrol. Als Schutzziele nennt das Dokument Vertraulichkeit, Integrität und Verfügbarkeit, als Säulen Strategie, Menschen, Prozesse und Technik.

Umsetzung und Compliance-Nachweis. Verpflichtete Stellen müssen alle nötigen Maßnahmen für eine fortlaufende Einhaltung treffen. Die NCA bewertet die Einhaltung über mehrere Wege, etwa Selbstbewertung, periodische Berichte des Compliance-Werkzeugs oder Prüfbesuche vor Ort, nach dem Mechanismus, den sie für angemessen hält. Für die Bewertung kündigt die ECC-2:2024 ein eigenes Werkzeug an (ECC-2:2024 Assessment and Compliance Tool). Der Umsetzungsleitfaden der NCA in der Fassung GECC-2:2026 ordnet jedem Control Umsetzungshinweise, passende Werkzeuge und erwartete Nachweise zu. Er betont selbst, dass er ein illustratives Modell ist, andere Wege zulässig bleiben, sofern sie den Anforderungen der NCA nicht widersprechen, und Prüfer weitere Nachweise verlangen dürfen.

Verhältnis zu ECC-1:2018, soweit belegt. Der Änderungsanhang der ECC-2:2024 weist unter anderem aus: Der Geltungsbereich wurde präzisiert und nennt nun verbundene Gesellschaften innerhalb und außerhalb des Königreichs. Die frühere Hauptdomäne 5 zu industriellen Steuerungssystemen wurde gestrichen; ihre Inhalte liegen nun in den OTCC. Vorgaben zur Datenlokalisierung und zum Datenschutz wurden aus der ECC herausgenommen und an das National Data Management Office (NDMO) bei der Saudi Data and Artificial Intelligence Authority (SDAIA) verwiesen, an das sich Stellen vor eigenen Schritten wenden sollen. Die Besetzungsanforderung mit qualifizierten saudischen Fachkräften wurde von Leitungs- und kritischen Positionen auf alle Cybersicherheitsstellen ausgeweitet. Daneben stehen Präzisierungen etwa zur Authentisierung und einzelne Ergänzungen. Eine Übergangsregel nennt der Anhang nicht.

Ein Widerspruch zwischen Leitfaden und Norm. Der Leitfaden GECC-2:2026 nennt in seinen Hinweisen zur Cloud-Nutzung weiterhin einen Speicherort im Königreich, obwohl die ECC-2:2024 die Lokalisierungsvorgabe gestrichen und an das NDMO verwiesen hat. Maßgeblich ist der Controltext; die Lokalisierungsfrage ist bei den NDMO-Vorgaben zu klären, die nicht als Snapshot vorliegen.

DCC, OTCC und TCC als Leitfaden. Die Operational Technology Cybersecurity Controls (OTCC-1:2022) gelten für industrielle Steuerungssysteme in als kritisch geltenden Anlagen, die im Besitz oder Betrieb staatlicher Stellen oder von Privatunternehmen stehen, die CNI besitzen, betreiben oder hosten, jeweils im Königreich oder im Ausland. Sie sind als Erweiterung der ECC gebaut, die Einhaltung der ECC ist zwingende Voraussetzung, und sie unterscheiden drei Anlagenstufen, deren Zuweisung ein Werkzeug der NCA strukturiert. Anwendbare Controls sind einzuhalten, nachdem sichergestellt ist, dass ihre Anwendung den Betrieb nicht gefährdet. Die Telework Cybersecurity Controls (TCC-1:2021) richten sich an staatliche Stellen samt Gesellschaften und Einheiten sowie an Privatunternehmen, die CNI besitzen, betreiben oder hosten; jede solche Stelle, die Telearbeit zulässt, muss die auf sie anwendbaren Controls einhalten. Die TCC setzen die Einhaltung der ECC voraus und verweisen bei kritischen Systemen auf die Critical Systems Cybersecurity Controls (CSCC-1:2019), die hier nicht als Snapshot vorliegen. Die Data Cybersecurity Controls (DCC-1:2022) liegen nur mit Titel, Gliederung in drei Hauptdomänen (Governance, Defense, Third-Party and Cloud Computing) und Anhangsüberschriften vor, darunter ein Anhang zum Verhältnis zur ECC; Zielsetzung, Geltungsbereich und Adressaten sind im Snapshot nicht lesbar. OTCC und TCC verweisen in den vorliegenden Fassungen noch auf ECC-1:2018. Ob die NCA sie an ECC-2:2024 angepasst hat, lässt sich aus den Snapshots nicht feststellen.

Umsetzungsperspektive

1. Je Rechtseinheit prüfen, nicht je Land. Gehört die Einheit zum staatlichen Bereich oder ist sie mit einer staatlichen Stelle verbunden? Besitzt, betreibt oder hostet sie Infrastruktur, die die NCA als CNI eingestuft hat?
2. Kundenseite gesondert erheben. Welche Kunden im Königreich sind staatliche Stellen oder Unternehmen, die CNI besitzen, betreiben oder hosten? Deren Drittparteien-Anforderungen kommen über den Vertrag, auch ohne eigene Pflicht; wer solche Kunden mit Cloud-Diensten bedient, muss ECC und CCC selbst einhalten.
3. Dienstleistungsmodell gegen Standortanforderungen spiegeln. Cybersicherheits-Managed-Services für Überwachung und Betrieb, die Fernzugriff nutzen, brauchen für verpflichtete Kunden ein Betriebsmodell vollständig im Königreich.
4. Lokalisierungsfragen an die richtige Stelle richten. Seit ECC-2:2024 liegt die Datenlokalisierung beim NDMO; Leitfadenhinweise ersetzen diese Klärung nicht.
5. Ergänzungswerke nach Gegenstand zuschalten. OTCC bei Steuerungstechnik in kritischen Anlagen, TCC bei Telearbeit, Cloud-Controls bei Cloud-Nutzung, jeweils zusätzlich zur ECC.
6. Nachweisführung am Leitfaden orientieren, ohne ihn zur Norm zu machen. Die erwarteten Nachweise des Leitfadens sind ein guter Startpunkt; Prüfer können mehr verlangen.

Typische Fehler

1. Aus fehlenden Schwellenwerten wird geschlossen, die ECC beträfen nur Behörden, obwohl private CNI-Eigentümer, Betreiber und Hoster ausdrücklich erfasst sind.
2. Die Empfehlung an alle übrigen Stellen wird als Pflicht dargestellt, oder umgekehrt die Pflicht verbundener Gesellschaften staatlicher Stellen im Ausland übersehen.
3. ECC werden als NIS-2-Äquivalent geführt; eine Gleichsetzung tragen die Quellen nicht.
4. Der Leitfaden wird als Anforderungstext gelesen, einschließlich seines Lokalisierungshinweises.
5. Für die ECC-2:2024 werden Fristen oder Bußgelder genannt, die in den Quellen nicht stehen.
6. OTCC oder TCC werden als eigenständige Alternative zur ECC behandelt, obwohl beide die ECC voraussetzen.
7. Die Personalanforderung saudischer Fachkräfte wird erst bei der Stellenbesetzung entdeckt.

Risiken und Trade-offs

Eine freiwillige Ausrichtung an der ECC ohne Pflicht kostet Aufwand, verschafft aber im Vertrieb an staatliche Kunden und CNI-Unternehmen einen Vorsprung, weil deren Drittparteien-Anforderungen ohnehin kommen. Eine zu enge Lesart ist teurer: Wer die CNI-Eigenschaft einer Saudi-Einheit oder den Status als verbundene Gesellschaft übersieht, steht ohne Programm da, wenn die NCA prüft.

Die Standortanforderung für Cybersicherheits-Managed-Services mit Fernzugriff erzwingt eine Abwägung zwischen einer Betriebsstätte im Königreich, einem lokalen Partner und dem Verzicht auf dieses Kundensegment. Die Ausweitung der Besetzungsanforderung auf alle Cybersicherheitsstellen betrifft verpflichtete Stellen unmittelbar und kann Konzernmodelle mit zentralen Teams in Deutschland in Frage stellen.

Entscheidungspunkte

• Welche unserer Einheiten oder Beteiligungen könnten staatlichen Stellen verbunden oder als CNI eingestuft sein, und wer klärt das mit der NCA?
• Richten wir uns ohne Pflicht freiwillig an der ECC aus, um Kunden aus dem staatlichen Bereich und CNI-Unternehmen zu bedienen?
• Bieten wir verpflichteten Kunden Managed Security Services an, und wenn ja, mit welchem Betriebsmodell im Königreich?
• Wer verfolgt Änderungen der NCA-Dokumente, insbesondere eine Anpassung von OTCC und TCC an ECC-2:2024?

Praktische Empfehlungen

• Eine Anwendbarkeitsnotiz je Rechtseinheit führen: staatlicher Bereich ja oder nein, CNI-Einstufung ja oder nein, Kundenbezug zu verpflichteten Stellen ja oder nein.
• In Angeboten an verpflichtete Kunden die ECC-Version ausdrücklich nennen (ECC-2:2024) und nicht auf ECC-1:2018 verweisen.
• Den Leitfaden GECC-2:2026 als Nachweisfundus nutzen, aber jede Anforderung am Controltext der ECC-2:2024 belegen.
• Lokalisierungsfragen nicht aus ECC oder Leitfaden ableiten, sondern über die NDMO-Vorgaben und die PDPL (siehe saudi-arabien-004 und saudi-arabien-005) klären.
• Fristen und Sanktionen nur nennen, wenn eine aktuelle Primärquelle sie trägt.

Relevante Normreferenzen

• Statute of the National Cybersecurity Authority (Königlicher Befehl Nr. 6801, geändert durch Nr. 7053): Art. 2 und 3 (Status, Zuständigkeit, Eigenverantwortung), Art. 4 (Aufgaben), Art. 7 Nr. 3 (Genehmigung der CNI-Einstufung), Art. 10 (Pflichten der relevant agencies).
• Essential Cybersecurity Controls ECC-2:2024: Scope of Work and Applicability, Implementation and Compliance, Domains and Structure, Anhang A (Begriffe, darunter CNI), Anhang C (Änderungen gegenüber ECC-1:2018).
• Guide to Essential Cybersecurity Controls (ECC) Implementation, GECC-2:2026.
• Operational Technology Cybersecurity Controls OTCC-1:2022; Telework Cybersecurity Controls TCC-1:2021; Data Cybersecurity Controls DCC-1:2022.
• Abgrenzung: NIS-2 und deutsches KRITIS-Recht stehen in den Tracks nis2 und kritis, die NCA-Controls werden dort nicht gleichgesetzt; ISO 27001 nur als Verweis im Track core-iso27001; Cloud-Controls und CST-Regelwerk in saudi-arabien-003, der deutsche Cloud-Katalog im Track c5; Datenschutz nach PDPL in saudi-arabien-004 bis 006, die DSGVO im Track dsgvo; Finanzaufsicht in saudi-arabien-007; die Vereinigten Arabischen Emirate im Track vae.