Cybersecurity Act

Der EU Cybersecurity Act, auch bekannt als Verordnung (EU) 2019/881, stärkt die Rolle der Agentur der Europäischen Union für Cybersicherheit (ENISA) und schafft ein umfassendes Rahmenwerk für die Zertifizierung der Cybersicherheit von Produkten, Dienstleistungen und Prozessen. Ziel der Verordnung ist es, die Cybersicherheit in der gesamten EU zu verbessern und einen einheitlichen digitalen Binnenmarkt zu schaffen.

Am 20. Januar 2026 hat die Europäische Kommission mit COM(2026) 11 den Entwurf eines Cybersecurity Act 2 vorgelegt, der die Verordnung ersetzen soll. Was sich ändern würde, beschreibt unser Beitrag zum Entwurf des Cybersecurity Act 2.

Inhalt

1. ENISA: Die EU-Agentur für Cybersicherheit
2. Rahmenwerk für Cybersicherheits-Zertifizierungen
3. Europäisches Framework für Cybersecurity-Zertifizierungen
4. Zertifizierungsschemen
5. Erstellung von Zertifizierungsschemen
6. Bestehende und zukünftige Schemen

ENISA: Die EU-Agentur für Cybersicherheit

ENISA hat durch den Cybersecurity Act ein erweitertes Mandat erhalten, das ihr mehr Ressourcen und neue Aufgaben zuweist. Die Hauptaufgaben von ENISA sind:

1. Entwicklung und Pflege des europäischen Cybersecurity-Zertifizierungsrahmenwerks: ENISA bereitet den technischen Rahmen für spezifische Zertifizierungsschemen vor.
2. Öffentlichkeitsarbeit: ENISA informiert die Öffentlichkeit über Zertifizierungsschemen und ausgestellte Zertifikate über eine spezielle Website.
3. Unterstützung bei der Bewältigung von Cybervorfällen: ENISA fördert die Zusammenarbeit auf EU-Ebene und unterstützt Mitgliedstaaten bei der Bewältigung von Cybervorfällen und koordiniert die Reaktion auf großangelegte grenzüberschreitende Cyberangriffe und -krisen.

Rahmenwerk für Cybersicherheits-Zertifizierungen

Das Rahmenwerk für die Zertifizierung der Cybersicherheit ("European cybersecurity certification framework") standardisiert die Cybersicherheitspraktiken in der gesamten EU durch die Festlegung von Sicherheitsstandards für IKT-Produkte, -Dienstleistungen und -Prozesse, um ein einheitliches Schutzniveau zu gewährleisten. Der Rahmen unterteilt die Zertifizierung in drei Vertrauenswürdigkeitsstufen und umreißt die Rolle der ENISA sowie die Mechanismen zur Einhaltung der Marktvorschriften. Er betont auch die Zusammenarbeit mit den Interessenvertretern, ist auf internationale Standards abgestimmt und kann an die sich entwickelnde Cybersicherheitslandschaft angepasst werden.

Europäisches Framework für Cybersecurity-Zertifizierungen

Das Framework für Cybersecurity-Zertifizierungen der EU zielt darauf ab, Vertrauen und Sicherheit in Bezug auf Produkte, Dienstleistungen und Prozesse im Bereich der Informations- und Kommunikationstechnologie (IKT) zu schaffen. Dies geschieht durch die Entwicklung von Zertifizierungsschemen, die den Grad der Sicherheit und Konformität von IKT-Produkten, -Dienstleistungen und -Prozessen bewerten.

Zertifizierungsschemen

Ein Zertifizierungsschema gemäß dem Cybersecurity Act ist ein umfassender Rahmen, der die Cybersicherheit von IKT-Produkten, -Dienstleistungen und -Prozessen gewährleisten soll. Jedes Schema umfasst in der Regel:

Gegenstand und Anwendungsbereich

Informationen darüber, welche Arten von IKT-Produkten, -Dienstleistungen und -Prozessen abgedeckt werden.

Zweck des Schemas

Wie die ausgewählten Standards, Bewertungskriterien und Sicherheitsniveaus den Bedürfnissen der Nutzer entsprechen.

Referenzen zu Standards

Internationale, europäische oder nationale Standards, die für die Bewertung herangezogen werden.

Sicherheitsniveaus

Festgelegte Vertrauenswürdigkeitsstufen („niedrig“, „mittel“, „hoch“) auf der Grundlage des Risikos.

Konformitätsbewertung

Die spezifischen Bewertungskriterien und -methoden zur Überprüfung der Anforderungen.

Nutzungsbedingungen

Bedingungen für die Erteilung, Aufrechterhaltung und Erneuerung von Zertifikaten.

Überwachung

Regeln für die Überwachung der Konformität sowie den Umgang mit Nicht-Konformitäten und neu identifizierten Schwachstellen.

Durch die Festlegung dieser Elemente bietet ein Zertifizierungsschema im Rahmen des CSA einen strukturierten und zuverlässigen Ansatz für die Zertifizierung der Cybersicherheit von IKT-Produkten, -Dienstleistungen und -Prozessen und stärkt so das Vertrauen und die Sicherheit auf dem digitalen Markt.

Erstellung von Zertifizierungsschemen

Die Erstellung von Zertifizierungsschemen erfolgt in mehreren Schritten:

1. Anforderung durch die EU-Kommission oder Mitgliedstaaten: ENISA entwickelt Entwürfe für Zertifizierungsschemen auf Anfrage der EU-Kommission oder der Mitgliedstaaten.
2. Unterstützung durch Experten: ENISA arbeitet eng mit Experten, Ad-Hoc-Arbeitsgruppen (AHWGs) und relevanten Stakeholdern zusammen, um die Schemen zu erstellen.
3. Öffentliche Konsultation: Die Entwürfe der Schemen werden zur öffentlichen Konsultation freigegeben.
4. Verabschiedung durch die EU: Nach der Überarbeitung und finalen Abstimmung wird das Schema als EU-Rechtsakt (Implementing Act) verabschiedet.
5. Umsetzung durch Mitgliedstaaten: Nach der Verabschiedung haben die Mitgliedstaaten Zeit, um die notwendigen Maßnahmen zur Umsetzung des Schemas zu ergreifen.

Weitere Informationen zur Erstellung neuer Zertifizierungsschemen bietet die ENISA (auf Englisch).

Bestehende und zukünftige Schemen

Für den Cybersecurity Act wurden mehrere Zertifizierungsschemata entwickelt oder befinden sich in der Entwicklung, die jeweils unterschiedliche Aspekte der Cybersicherheit adressieren.

EUCC

Das EUCC (European Cybersecurity Certification Scheme on Common Criteria) dient der Zertifizierung von IKT-Produkten wie Hardware, Software und Komponenten.

Am 31. Januar 2024 hat die Europäische Kommission die Durchführungsverordnung (EU) 2024/482 zur Einführung des Schemas erlassen; sie gilt seit dem 27. Februar 2025. ENISA stellt die unterstützenden Dokumente zur Verfügung, die im Anhang 1 des Implementierungsaktes aufgeführt sind. Das Schema basiert auf dem bewährten europäischen Bewertungsrahmen SOG-IS für Common Criteria, der bereits in 17 EU-Mitgliedstaaten angewendet wurde.

Weitere Informationen zum Schema gibt es hier: https://certification.enisa.europa.eu/certification-library/eucc-certification-scheme_en

EUCS

Ziel des EUCS (European Cybersecurity Certification Scheme for Cloud Services) ist die Zertifizierung der Cybersicherheit von Cloud-Diensten. Der erste Entwurf wurde am 22.12.2020 veröffentlicht. Das Schema ist bis heute nicht verabschiedet; strittig sind vor allem Anforderungen an die Unabhängigkeit von Anbietern außerhalb der EU auf der Vertrauenswürdigkeitsstufe „high“. Der Entwurf wurde mit Unterstützung einer Ad-hoc-Arbeitsgruppe und der Mitgliedstaaten erstellt und soll einheitliche Sicherheitsstandards für Cloud-Dienste in der EU festlegen.

EU5G

Das EU5G (European Cybersecurity Certification Scheme for 5G) soll die Cybersicherheit von 5G-Netzwerken zertifizieren. Die Entwicklung war ursprünglich in zwei Phasen geplant. Die erste Phase endete im Herbst 2022. ENISA, Experten und die Europäische Kommission analysierten bestehende Industriebewertungen und Zertifizierungsschemata. Laut Arbeitsprogramm 2026 der ENISA ist das Schema weiterhin in Arbeit, ein veröffentlichter Entwurf liegt bislang nicht vor. Das Schema wird sich auf verschiedene Anwendungsfälle konzentrieren, darunter die Bereitstellung und den Einsatz identifizierter 5G-Netzwerkausrüstung, die Verwaltung von Teilnehmeridentitäten, die Bereitstellung von SIM-Karten aus der Ferne, die 5G-Authentifizierung (einschließlich Roaming) und Teilnehmeranschlussdienste.

KI

Im Bereich der künstlichen Intelligenz prüft die ENISA, ob und wie KI-Systeme einer Cybersicherheitszertifizierung unterzogen werden könnten. Diese Arbeit ist vorläufig, da die EU-Kommission noch keine offizielle Anfrage zur Entwicklung eines Zertifizierungsschemas für KI gestellt hat. Ziel ist es, die mögliche Integration von KI in den bestehenden Zertifizierungsrahmen vorzubereiten.

Managed Security Services

Managed Security Services, die in der NIS-2-Richtlinie als kritischer Sektor genannt und im Cyber Solidarity Act (Verordnung (EU) 2025/38) erwähnt werden, stehen im Mittelpunkt der Prävention und Reaktion auf Cybersicherheitsbedrohungen und -zwischenfälle. Mit der Verordnung (EU) 2025/37 wurde der Cybersecurity Act so geändert, dass auch solche Dienste zertifiziert werden können. Einen ersten Entwurf des Schemas (EUMSS) hat die ENISA im Sommer 2026 zur öffentlichen Konsultation gestellt.