EU-Regularien : CSA revisited : Neue Relevanz für den EU-Rechtsakt zur Cybersicherheit
Der Cyber-Security-Act (CSA) ist nicht mehr ganz neu und seine Neuauflage als CSA-2 bereits auf dem Weg. Durch das im Januar verabschiedete KRITIS-Dachgesetz erhält er jedoch eine neue praktische Relevanz – vor allem im Bereich des Risikomanagements und der Lieferkettensicherheit. Unsere Autoren* geben daher noch einmal einen Überblick über das Regularium sowie Handlungsempfehlungen für KRITIS-Betreiber.
Mit dem europäischen Rechtsakt zur Cybersicherheit (European Cyber-Security-Act, CSA [1]) hat die EU 2019 einen der zentralen Bausteine ihrer Cybersicherheitsarchitektur geschaffen (siehe auch https://digital-strategy.ec.europa.eu/policies/cybersecurity-act). Was auf den ersten Blick nach reiner EU-Verwaltungsstruktur aussieht, hat für Betreiber kritischer Infrastrukturen (KRITIS) ganz praktische Konsequenzen, etwa bei der Beschaffung von IT-Produkten oder der Auswahl von Dienstleistern. Der CSA ist am 27. Juni 2019 in Kraft getreten und gilt unmittelbar in jedem EU-Mitgliedstaat.
Zu den wesentlichen Bestandteilen der EUVerordnung gehört die Festlegung der europäischen Cybersicherheitsagentur „European Union Agency for Cybersecurity“ (ENISA, www.enisa.europa.eu) sowie die Etablierung eines europäischen Zertifizierungsrahmens für Produkte, Dienstleistungen und Prozesse der Informations- und Kommunikationstechnik (IKT – Titel III, Art. 46–65).
Rolle der ENISA
Die ENISA hat den Auftrag, die operative Zusammenarbeit auf EU-Ebene zu verstärken, die EU-Mitgliedstaaten bei der Bewältigung ihrer Cybersicherheitsvorfälle zu unterstützen und die Koordination der EU bei groß angelegten, grenzüberschreitenden Cyberangriffen und -krisen zu fördern. Sie baut ein hohes Maß an Fachwissen im Bereich der Cybersicherheit auf und bewahrt dieses dauerhaft. Sie unterstützt die EU-Mitgliedstaaten aktiv bei deren Bemühungen um eine sichere digitale Infrastruktur, arbeitet eng mit den zuständigen EU-Organen und Einrichtungen zusammen und bezieht dabei auch Erkenntnisse aus dem Privatsektor mit ein. Um die operative Zusammenarbeit zwischen den EU-Mitgliedstaaten wirksam zu unterstützen, baut die ENISA ihre technischen und personellen Kapazitäten kontinuierlich aus. Gemeinsam mit den EU-Mitgliedstaaten entwickelt sie Programme zur Entsendung nationaler Sachverständiger, zum Aufbau von Expertengruppen und zum Personalaustausch.
Für KRITIS-Betreiber bedeutet das konkret: Über diese Netzwerke fließen praxisrelevante Erkenntnisse zu aktuellen Bedrohungslagen und Schutzmaßnahmen, die sich auch in den nationalen Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) wiederfinden. Zu den Zuständigkeiten der ENISA zählt auch die Unterstützung der EU-Mitgliedstaaten sowie Organe, Einrichtungen und sonstigen Stellen der EU bei der wirksamen Umsetzung der NIS-2-Richtlinie (EU) 2022/2555, die 2023 die ursprünglich im CSA in Bezug genommene NIS-1-Richtlinie (EU) 2016/1148 abgelöst hat. Für KRITIS-Betreiber ist dieser Bezug besonders wichtig, da NIS-2 über das deutsche BSI-Gesetz (BSIG) im Zusammenspiel mit dem KRITIS-Dachgesetz unmittelbare Risikomanagement- und Meldepflichten begründet.
Die ENISA berät überdies die Europäische Kommission in unionsweiten Angelegenheiten und sorgt für eine kohärente Umsetzung von Cybersicherheitsaspekten in den Strategien und Rechtsvorschriften der EU. Zudem erstattet sie dem Europäischen Parlament regelmäßig Bericht über ihre Tätigkeiten.
Eine weitere zentrale Aufgabe betrifft den Schutz des sogenannten öffentlichen Kerns des offenen Internets, also der wichtigsten Protokolle und Infrastrukturen, die als globales öffentliches Gut die grundlegenden Funktionen des Internets bereitstellen und dessen reibungslosen Betrieb sicherstellen. Die ENISA fördert hier gezielt Sicherheit und Stabilität.
Zertifizierungsrahmen und Governance
Außerdem übernimmt die ENISA eine zentrale Rolle bei der Entwicklung und Aufrechterhaltung des europäischen Rahmens für die Cybersicherheitszertifizierung, indem sie die technische Basis für spezifische Zertifizierungssysteme schafft – anschließend werden die Schemata als EU-Durchführungsrechtsakte verabschiedet.
Der Zertifizierungsrahmen legt einheitliche Sicherheitsanforderungen für IKT-Produkte, -Dienste und -Prozesse fest und schafft damit für Betreiber kritischer Infrastrukturen eine verlässliche Grundlage, um die Sicherheit von Produkten und Dienstleistungen bereits bei der Beschaffung objektiv einschätzen und vergleichen zu können.
Mit dem „EU Cybersecurity Certification Scheme on Common Criteria“ (EUCC) ist das erste konkrete Zertifizierungssystem seit dem 27. Februar 2025 anwendbar (siehe https://certification.enisa.europa.eu/certificationlibrary/). Weitere Schemata für Cloud-Dienste (EUCS) und 5G-Netze (EU5G) befinden sich in Entwicklung.
Mit der Novelle (EU) 2025/37 [2], die am 4. Februar 2025 in Kraft getreten ist, wurde der Anwendungsbereich zusätzlich auf verwaltete Sicherheitsdienste ausgeweitet – etwa auf die Reaktion auf Sicherheitsvorfälle, Penetrationstests und Sicherheitsaudits. Das ist für KRITIS-Betreiber relevant, die solche Leistungen extern beauftragen, da künftige Zertifizierungen hier als zusätzliches Auswahlkriterium dienen können. Die fachliche Bewertung und Weiterentwicklung der Schemata erfolgt durch die Europäische Gruppe für Cybersicherheitszertifizierung, in der die nationalen Zertifizierungsbehörden der Mitgliedstaaten vertreten sind – in Deutschland übernimmt diese Funktion das BSI.
Handlungsempfehlungen für KRITIS-Betreiber
Der CSA selbst begründet keine unmittelbaren Pflichten für Betreiber kritischer Infrastrukturen. Seine praktische Relevanz ergibt sich für diese Zielgruppe aber aus dem Zusammenspiel mit der EU NIS-2-Richtlinie und dem nationalen KRITIS-Dachgesetz, allem voran im Bereich des Risikomanagements und der Lieferkettensicherheit.
Bei der Beschaffung von IKT-Produkten und -Diensten sollten KRITIS-Betreiber zukünftig gezielt auf EUCC-zertifizierte Lösungen achten, um Lieferkettenrisiken im Sinne der Risikomanagementpflichten nach NIS-2 nachweisbar zu reduzieren (Art. 21 und Art. 24 NIS-2). Bei der Auswahl von Cloud-Anbietern empfiehlt sich eine Orientierung an der Entwicklung des EUCS-Zertifizierungsschemas (https://certification.enisa.europa.eu), sobald dieses final verabschiedet ist. Auch bei der Beauftragung von Sicherheitsdienstleistern, etwa für Penetrationstests, Sicherheitsaudits oder Incident-Response-Leistungen, sollten künftige Zertifizierungen für verwaltete Sicherheitsdienste als Auswahlkriterium berücksichtigt werden.
Im Rahmen des Risikomanagements bietet es sich an, vorhandene CSA-Zertifikate systematisch als Nachweis der Regelkonformität im Kontext der NIS2-Risikomanagementmaßnahmen zu dokumentieren. Darüber hinaus sollten die von der ENISA veröffentlichten Berichte zur Bedrohungslage (www.enisa.europa.eu/topics/cyber-threats/threat-landscape) sowie der EUCybersicherheitslagebericht (vgl. www.enisa.europa.eu/topics/state-of-cybersecurity-in-the-eu) regelmäßig in die eigene Bedrohungsanalyse einbezogen werden, um aktuelle Erkenntnisse zu Cyberbedrohungen frühzeitig zu berücksichtigen.
Strategisch ist KRITIS-Betreibern zu empfehlen, die Konsultationsverfahren und Arbeitsgruppen der Europäischen Gruppe für Cybersicherheitszertifizierung (ECCG, https://digital-strategy.ec.europa.eu/de/policies/cybersecurity-certification-group) zu verfolgen, um bei der Einführung künftiger, möglicherweise verpflichtender Zertifizierungsschemata – etwa im Zusammenspiel mit dem Cyber-Resilience-Act (CRA) – nicht überrascht zu werden. Ergänzend empfiehlt sich der Aufbau eines festen Ansprechpartners zur nationalen Zertifizierungsbehörde, in Deutschland dem BSI, für Fragen der Konformitätsbewertung.
Nicht zuletzt sollten KRITIS-Betreiber den von der Europäischen Kommission im Januar 2026 vorgelegten Entwurf zur Neufassung des Cybersecurity-Act (CSA‑2, [3]) im Blick behalten (vgl. [4]). Dieser befindet sich noch im Gesetzgebungsverfahren, sieht aber bereits eine zentrale Meldestelle für Sicherheitsvorfälle und verbindliche Pflichten zur Lieferketten-Governance vor, die voraussichtlich auch KRITIS-Betreiber unmittelbar betreffen werden.
Manuel Atug ist Principal, Rozerin Karaterzi ist Werkstudentin Security Consulting bei der HiSolutions AG.
Literatur
[1] Europäische Union, Verordnung (EU) 2019/881 … vom 17. April 2019 über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik … (Rechtsakt zur Cybersicherheit), in: Amtsblatt der Europäischen Union L 151, S. 15, Juni 2019, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32019R0881
[2] Europäische Union, Verordnung (EU) 2025/37 … vom 19. Dezember 2024 zur Änderung der Verordnung (EU) 2019/881 im Hinblick auf verwaltete Sicherheitsdienste, in: Amtsblatt der Europäischen Union Reihe L, Januar 2025, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025R0037
[3] Europäische Union, Vorschlag für eine Verordnung … über die Agentur der Europäischen Union für Cybersicherheit (ENISA), den europäischen Rahmen für die Cybersicherheitszertifizierung und die Sicherheit der IKT-Lieferketten sowie zur Aufhebung der Verordnung (EU) 2019/881 (Cybersicherheitsverordnung 2), Mitteilung der Kommission COM/2026/11 final, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52026PC0011
[4] European Commission, Commission strengthens EU cybersecurity resilience and capabilities, Pressemitteilung, Januar 2026, https://digital-strategy.ec.europa.eu/en/news/commission-strengthens-eucybersecurity-resilience-and-capabilities