EU-Rechtsakt zur Cybersicherheit

Ein neues Mandat für die ENISA

Die ENISA, die EU-Agentur für Cybersicherheit, ist jetzt stärker. Mit dem EU-Rechtsakt zur Cybersicherheit wird der Agentur ein ständiges Mandat erteilt und sie erhält mehr Ressourcen und neue Aufgaben.

Die ENISA hat eine Schlüsselrolle bei der Einrichtung und Aufrechterhaltung des europäischen Rahmens für die Cybersicherheitszertifizierung, indem sie die technischen Grundlagen für spezifische Zertifizierungssysteme vorbereitet. Sie ist dafür zuständig, die Öffentlichkeit über die Zertifizierungssysteme und die ausgestellten Zertifikate über eine spezielle Website zu informieren. 

Die ENISA hat den Auftrag, die operative Zusammenarbeit auf EU-Ebene zu verstärken, die EU-Mitgliedstaaten, die dies beantragen möchten, bei der Bewältigung ihrer Cybersicherheitsvorfälle zu unterstützen und die Koordinierung der EU im Falle großer grenzüberschreitender Cyberangriffe und -krisen zu unterstützen.

Diese Aufgabe baut auf der Rolle der ENISA als Sekretariat des durch die Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS-Richtlinie) eingerichteten nationalen Netzes für die Reaktion auf Computervorfälle (CSIRTs) auf.

Im Januar 2026 schlug die Kommission einen neuen Rechtsakt zur Cybersicherheit vor, um die Widerstandsfähigkeit und die Fähigkeiten der EU im Bereich der Cybersicherheit weiter zu stärken. Im Rahmen des Vorschlags wird die ENISA Unternehmen und Interessenträger, die in der EU tätig sind, weiter unterstützen, indem sie frühzeitige Warnungen vor Cyberbedrohungen und -vorfällen ausgibt. 

In Zusammenarbeit mit Europol und Computer Security Incident Response Teams (CSIRTs) wird es Unternehmen dabei unterstützen, auf Ransomware-Angriffe zu reagieren und sich von ihnen zu erholen.

Die ENISA wird auch eine gemeinsame Kapazität des Schwachstellenmanagementdienstes der Union entwickeln und den Interessenträgern Schwachstellenmanagementdienste zur Verfügung stellen. Sie wird die im digitalen Omnibus vorgeschlagene zentrale Anlaufstelle für die Meldung von Vorfällen betreiben.

Das überarbeitete Cybersicherheitsgesetz zielt auch darauf ab, die Risiken in der IKT-Lieferkette der EU von Lieferanten aus Drittländern mit Cybersicherheitsbedenken zu verringern. Sie legt einen vertrauenswürdigen Rahmen für die Sicherheit der IKT-Lieferkette fest, der auf einem harmonisierten, verhältnismäßigen und risikobasierten Ansatz beruht. Jüngste Cybersicherheitsvorfälle haben die großen Risiken von Schwachstellen in den IKT-Lieferketten deutlich gemacht, die für kritische Dienste und Infrastrukturen von wesentlicher Bedeutung sind.

Ein europäischer Rahmen für die Cybersicherheitszertifizierung

Mit dem EU-Rechtsakt zur Cybersicherheit wird ein EU-weiter Rahmen für die Cybersicherheitszertifizierung von IKT-Produkten, -Diensten und -Prozessen eingeführt. Unternehmen, die in der EU tätig sind, werden davon profitieren, dass sie ihre IKT-Produkte, -Prozesse und -Dienstleistungen nur einmal zertifizieren und ihre Zertifikate in der gesamten Europäischen Union anerkennen lassen müssen.

Mit dem Vorschlag für das überarbeitete Cybersicherheitsgesetz wird der erneuerte Europäische Rahmen für die Cybersicherheitszertifizierung standardmäßig innerhalb von 12 Monaten mehr Klarheit und einfachere Verfahren für die Entwicklung von Systemen schaffen. 

Gezielte Änderungen

Am 18. April 2023 schlug die Kommission eine gezielte Änderung des EU-Rechtsakts zur Cybersicherheit vor. Diese gezielte Änderung wurde am 15. Januar 2025 angenommen und soll die künftige Annahme europäischer Zertifizierungssysteme für „verwaltete Sicherheitsdienste“ ermöglichen, die Bereiche wie Reaktion auf Sicherheitsvorfälle, Penetrationstests, Sicherheitsaudits und Beratung abdecken. Die Zertifizierung ist von entscheidender Bedeutung, um ein hohes Maß an Qualität und Zuverlässigkeit dieser hochkritischen und sensiblen Cybersicherheitsdienste zu gewährleisten, die Unternehmen und Organisationen dabei unterstützen, Vorfälle zu verhindern, zu erkennen, darauf zu reagieren oder sich von Vorfällen zu erholen.

Am 20. Januar 2026 schlug die Kommission außerdem gezielte Änderungen der NIS2-Richtlinie vor, um die Rechtsklarheit zu erhöhen. Die Änderungen werden die Einhaltung der EU-Cybersicherheitsvorschriften und der Risikomanagementanforderungen für Unternehmen, die in der EU tätig sind, vereinfachen. Sie erleichtern die Einhaltung der Vorschriften für 28.700 Unternehmen, darunter 6.200 Kleinst- und Kleinunternehmen.