Cybersecurity Act EU-Kommission will ENISA stärken

Anbieter zum Thema

Bitkom e.V.

Zscaler Germany GmbH

ZVEI e.V. Verband der Elektro- und Digitalindustrie

DAXTEN GmbH

Data Center Group – Büro Köln

mehr weniger

STACKIT GmbH & Co. KG

weniger

Cyber-Bedrohungen werden immer ausgefeilter, Cybersecurity daher immer wichtiger. Die EU-Kommission hat einen Entwurf des überarbeiteten Cybersecurity Act (CSA) zur Beratung vorgelegt. Wird Cyber-Sicherheit nun einfacher umzusetzen sein?

Die Europäische Kommission verfolgt mit dem am 20. Januar 2026 vorgeschlagenen neuen Cyber-Sicherheitspaket das übergeordnete Ziel, die Widerstandsfähigkeit und die Fähigkeiten der EU angesichts wachsender Bedrohungen durch staatliche und kriminelle Akteure massiv zu stärken. Dabei setzt die Kommission folgende strategische Kernziele:

• 1. Sicherung der technologischen Souveränität und Schutz kritischer Infrastrukturen

• 2. Vereinfachung und Entlastung für Unternehmen (Bürokratieabbau)

• 3. Institutionelle Stärkung der ENISA (European Network and Information Security Agency)

• 4. Verbesserung der operativen Zusammenarbeit und Transparenz

Digitale Souveränität und KRITIS-Schutz

Ein wesentliches Ziel ist die Sicherung der europäischen technologischen Souveränität. Dazu gehören der Schutz der ITK-Lieferkette sowie Prävention und Reaktion. „Mit dem neuen Cyber-Sicherheitspaket werden wir über die Mittel verfügen, um unsere kritischen Lieferketten im Bereich der Informations- und Kommunikationstechnologien besser zu schützen, aber auch Cyber-Angriffe entschlossen zu bekämpfen“, zeigt sich Henna Virkkunen, Exekutiv-Vizepräsidentin der EU-Kommission für technologische Souveränität, Sicherheit und Demokratie, überzeugt.

Bildergalerie

Entbürokratisierung

Mit dem aktuellen Entwurf soll das „Digital Rulebook“ vereinfacht werden, um so die Wettbewerbsfähigkeit der EU zu steigern. Zur Entbürokratisierung könnten beispielsweise Änderungen an der NIS2-Richtlinie und dem Cyber Resilience Act (CRA) beitragen.

Um parallele Meldewege und unnötigen Aufwand zu reduzieren, soll die ENISA zentrale Anlaufstelle (Single-entry point) für die Meldung aller Cyber-Sicherheitsvorfälle und Datenschutzverletzungen betreiben. Rechtsanwältin und Bitkom-Vertreterin Susanne Dehmel gibt zu bedenken: „Das Prinzip ‚einen Vorfall, eine Meldung‘ kann nur dann Realität werden, wenn die vielen Meldepflichten aus unterschiedlichen Regelwerken – etwa NIS2, Cyber Resilience Act, Datenschutz-Grundverordnung – konsequent aufeinander abgestimmt werden. Sonst bleibt es in der Praxis bei parallelen Meldewegen und unnötigem Aufwand.“ Die Geschäftsleiterin des Bitkom sieht den Anspruch, mit vereinfachten Vorgaben und Meldepflichten ein unternehmensfreundlicheres Umfeld zu schaffen, noch nicht vollständig eingelöst.

Und auch die ZVEI-Geschäftsführerin Sarah Bäumchen warnt vor noch mehr Bürokratie: „Es muss nun penibel darauf geachtet werden, dass die Ausgestaltung der europäischen Cyber-Sicherheitsregulierungen kohärent erfolgt und nicht das Kind mit dem Bade ausgeschüttet wird, indem diese zu aufgebläht und überkomplex formuliert werden. Von uns erwartete Simplifizierungsmaßnahmen, zum Beispiel im Rahmen des so genannten digitalen Omnibusses, sind bisher ausgeblieben und die Lage bleibt ernst.“

Europäischer Rahmen für die Cyber-Sicherheitszertifizierung

Der Entwurf beinhaltet auch eine Straffung des Rahmens für die Cyber-Sicherheitszertifizierung von IKT-Produkten und -Diensten. Unternehmen sollen Produkte nur noch einmal zertifizieren müssen, damit diese in der gesamten EU anerkannt werden.

Der Bitkom bewertet das positiv: „Damit kann ein Zertifikat beispielsweise eine sogenannte Konformitätsvermutung begründen, etwa mit Blick auf Vorgaben aus NIS2 oder dem Cyber Resilience Act. Das schafft Rechtssicherheit und kann Doppelprüfungen reduzieren.“

Technologie- und Sicherheitspolitik

EU plant Ausschluss chinesischer Firmen von kritischer Infrastruktur

Der Eco-Verband betont: „Wichtig ist, dass die Zertifizierung weiter international etablierte Standards widerspiegelt und den Mitgliedsstaaten aufgrund ihrer unterschiedlichen Ausgangslage ausreichend Zeit für die Umsetzung der neuen Regeln eingeräumt wird. Getätigte Investitionen dürfen nicht durch neue Regulierung obsolet werden.“

Stärkung der ENISA

Die ENISA erhält ein ständiges Mandat und übernimmt eine zentrale Rolle beim Aufbau und der fortlaufenden Pflege des europäischen Rahmens für Cybersicherheitszertifizierungen, indem sie die technische Grundlage für konkrete Zertifizierungssysteme erarbeitet. Zudem ist sie dafür verantwortlich, die Öffentlichkeit über diese Systeme und die vergebenen Zertifikate über eine eigens dafür bereitgestellte Website zu informieren.

Da die EU-Agentur für Cyber-Sicherheit bereits als Sekretariat für das durch NIS2-bedingte nationale „Netz für die Reaktion auf Computervorfälle (CSIRTs)“ dient, wird sie nun zusätzlich EU-Mitgliedsstaaten auf Wunsch bei der Bewältigung ihrer Cyber-Sicherheitsvorfälle unterstützen und die Koordinierung der EU im Falle großer grenzüberschreitender Cyber-Angriffe und -krisen begleiten. Außerdem soll sie frühzeitige Warnungen vor Cyberbedrohungen und -vorfällen ausgeben.

Harmonisierung der nationalen Umsetzungen

Zusätzlich zu dem genannten Frühwarnsystem betont der Entwurf als Ziel eine stärkere Harmonisierung der nationalen Umsetzungen, um die bisherige Fragmentierung in 27 unterschiedliche Ansätze zu überwinden.„Als erster Schritt, um die Fragmentierung hinter sich zu lassen, muss der ENISA eine erhebliche Aufstockung der Ressourcen und Finanzmittel gewährt werden“, fordert Casper Klynge, Head of Government Partnerships, Zscaler EMEA.

Für den nächsten EU-Haushaltszeitraum 2028 bis 2034 soll ENISA demnach rund 49 Millionen Euro pro Jahr erhalten (2025: 26,9 Mio. Euro). Bis einschließlich 2027 stehen schon weitere Mittel aus der EU-Cybersecurity-Reserve bereit.

Klynge schlägt außerdem vor, dass „sich die Überarbeitung des Cyber-Sicherheitsgesetzes auf die Straffung der Entwicklung neuer IKT-Zertifizierungssysteme konzentrieren“ sollte. Seiner Ansicht nach ist „die Unterstützung eines Rahmens, der die Einbeziehung von Experten in die Entwicklung der technischen Kriterien fördert, ein entscheidender Faktor für eine schnellere und skalierbarere Einführung und Umsetzung solcher Systeme“.

Der Gesetzgebungsprozess befindet sich nun in der Phase der Prüfung, Debatte und möglichen Anpassung durch Parlament und Rat. Das Parlament stimmt über den endgültigen Text ab, nachdem der Vorschlag verhandelt wurde.

(ID:50688637)