Cyber Resilienz
EU Cybersecurity Act: Was regelt er — und wie kommt er in Deutschland zur Anwendung?
Kernaussagen
- Der EU Cybersecurity Act stärkt ENISA als EU-Agentur und führt einen harmonisierten Rahmen für Cybersicherheitszertifizierung von ICT-Produkten, -Diensten und -Prozessen ein.
- Zertifizierungsschemata definieren Assurance Levels (basic, substantial, high); Zertifikate sind grundsätzlich freiwillig, werden aber in anderen Rechtsakten oder Vergaben als Nachweisinsstrument referenziert.
- In Deutschland koordiniert das BSI über die NCCA nationale Zertifizierungs- und Aufsichtslogik und wirkt in europäischen Gremien mit.
- Parallelprojekte (NIS2, CRA, EUCC-Cloud, 5G-Schemata) machen das Thema „Zertifikat als Sprache zwischen Einkauf, Security und Audit“ immer wichtiger.
- Personell brauchen Organisationen Schnittstellen zwischen Zertifizierung, Produktsecurity, Einkauf und Regulatorik — nicht nur Pen-Test-Punkte.
Der EU Cybersecurity Act (Verordnung (EU) 2019/881) ist einer der frühen EU-Pfeiler zur institutionellen und marktlichen Stärkung digitaler Sicherheit: Er verabschiedete ein dauerhaftes Mandat für die Europäische Agentur für Netz- und Informationssicherheit (ENISA) und schuf den Europäischen Rahmen für Cybersicherheitszertifizierung — also ein gemeinsames Regelwerk, nach dem ICT-Produkte, -Dienste und -Prozesse unabhängig bewertet und EU-weit vergleichbar ausgewiesen werden können.
Für Unternehmen in Deutschland ist die Frage selten „Was steht im Gesetz?“ allein, sondern: Wie fließt das in Ausschreibungen, Produktfreigaben, Cloud- und OT-Beschaffung — und wer koordiniert zwischen Einkauf, Produkt, IT-Security und Audit?
Kein Rechtsrat; verbindliche Entscheidungen gehören in die Fachjuristin bzw. den Fachjuristen.
Zentrale Einstiegspunkte:
- ENISA — Cybersecurity certification framework (Überblick und Materialien; vertieft auch unter EU cyber certification — regulatory context)
- Deutschland: BSI — EU Cyber Security Act und Nationale Behörde für Cybersicherheitszertifizierung (NCCA)
- Wirtschaftsverbände (z. B. Bitkom) kommentieren die Cybersecurity-Act-Revision — immer gegen offizielle EU- und BSI-Quellen spiegeln.
Zwei Säulen: ENISA dauerhaft + Zertifizierungsrahmen
Säule 1 — ENISA: Die Agentur unterstützt Mitgliedstaaten und EU-Institutionen u. a. bei Policies, Lagebild, Koordination — ein stabiler EU-Anker neben nationalen Behörden wie dem BSI.
Säule 2 — Zertifizierung: Über EU-weite Schemata werden Bewertungskriterien und Assurance Levels (von „basic“ bis „high“) definiert. Zertifizierungsstellen arbeiten nach harmonisierten Regeln; Zertifikate sollen Wiedererkennung und Marktzugang erleichtern — vor allem in fragmentierten Märkten.
Begriffe, die in RFP und Architektur häufig auftauchen
- Scheme: Das „Regelbuch“, nach dem ein Produkt/Dienst bewertet wird.
- Assurance Level: Tiefe und Strenge der Evaluation — nicht automatisch „ mehr Security“ im Alltag, aber klarere Erwartung.
- Zertifikat vs. Konformität: Unterschiedliche Pfade je Gesetz (z. B. CRA vs. freiwillige EU-Zertifikate) — nicht verwechseln.
- Freiwillig ≠ nutzlos: Viele Kunden/Regulatoren verlangen Evidenz — Zertifikat ist oft das kommunizierbare Artefakt.
Deutschland: BSI als NCCA — was passiert praktisch?
Das BSI fungiert als Nationale Behörde für Cybersicherheitszertifizierung. Das bedeutet: nationale Koordinierung der Umsetzung europäischer Schemata, Aufsicht über Zertifizierungsstellen nach Maßgabe des Rechtsrahmens und Schnittstelle zu Akkreditierung (häufig DAkkS-Kontext). Für internationale Konzerne zählen: deutsche und europäische Pfade wirken parallel, nicht sequenziell.
Typische Betriebsszenarien:
- Hersteller wollen EU-weit verkaufen und brauchen wiedererkennbare Nachweise.
- Einkauf/Infra verlangt in TOM oder Framework Agreements „anerkannte“ Prüfungen.
- KRITIS / regulierte Branchen nutzen Zertifikate als Evidenzbaustein innerhalb breiterer Programme (siehe Einordnung zu NIS2 im Unternehmen).
Revision und Zukunft der Schemata
Die EU diskutiert eine Revision des Cybersecurity Act — mit möglichen Auswirkungen auf Mandateffizienz, Schematausbau und Konvergenz mit Nachbarregimen (u. a. CRA-Diskussion). Wer heute langfristige Produktpfade plant, sollte Roadmaps und Bitkom-/Branchen-Stellungnahmen im Blick haben — nicht nur das aktuell gültige Schema-Set.
Vertiefung: Verhältnis zu CRA und NIS2
Der Cyber Resilience Act (CRA) adressiert Produkte mit digitalen Elementen über den Lebenszyklus; der Cybersecurity Act stärkt ENISA und Zertifizierungslogik. In der Beschaffung kann es Überschneidungen geben — welches Nachweisformat für welches Release gilt.
NIS2/BSIG bleibt organisationszentriert (Governance, Maßnahmen, Meldewesen); Zertifikate können helfen, Einzelnachweise zu strukturieren — ersetzen aber keine Betroffenheits- oder Managementpflichten.
Checkliste für Entscheider
Zertifizierung strategisch nutzen
- Bestand: Welche Produkte/Dienste brauchen 12–36 Monate Nachweis gegenüber Kunden oder Regulatoren?
- Schema-Match: EUCC, künftig EUCS/andere Pfade — welche Assurance-Stufe ist realistisch?
- Remediation Budget: Zertifikate entstehen nicht „nebenbei“; Engineering-Zyklen einplanen.
- Lieferanten: gleiche Evidenz in der Kette fordern und prüfen.
- Anschluss an ISMS/Incident: Zertifikat ersetzt keinen Vorfallprozess.
Fazit
Der EU Cybersecurity Act ist die institutionelle und zertifikatorische Infrastruktur für EU-Cybersecurity — in Deutschland operativ beim BSI verankert. Für Unternehmen ist er relevant als Markt- und Beschaffungssprache — und als Talentthema, wenn Evidence, Produkt und Regulatorik zusammenlaufen.
Passend zu Besetzung schwer pointierbarer Profile: Cybersecurity Recruiting und zur breiteren Tech-Pipeline IT Recruiting.
Häufige Fragen
- Ja — etwa für Linienverantwortung zwischen Common Criteria / EUCC-Pfaden, Lieferantenqualifizierung und Audit-Vorbereitung. Wir definieren mit Mandanten Zielbilder (12–24 Monate), klären Stakeholder (Einkauf, Produkt, IT-Security, Legal) und suchen aktiv auf dem Markt, inklusive passiver Kandidaten. Shortlists sind evidence-orientiert, nicht nur Zertifikatslisten.
- Nein. Zertifikate adressieren typischerweise definierte Evaluationsobjekte und Schemata; ein ISMS bleibt für Betriebsreife, breite Kontrolllandschaft und organisationale Verantwortung zentral. In der Praxis wirken beides zusammen — je nach Branche und regulatorischer Anker.
- NIS2 verlangt nachweisbare Sicherheitsmaßnahmen und Lieferkettensteuerung; anerkannte Zertifikate können als Evidenzstück dienen, ersetzen aber keine Betroffenheits- oder Prozesslogik. Für operative Einordnung siehe unseren NIS2-Blogartikel verlinkt unten.