Kurzdefinition: Der Cybersecurity Act ist die Verordnung (EU) 2019/881. Sie legt die Ziele, Aufgaben und Organisation der ENISA — der Agentur der Europäischen Union für Cybersicherheit — fest und schafft einen europäischen Rahmen für die Cybersicherheitszertifizierung von IKT-Produkten, -Diensten und -Prozessen. Der Rahmen soll ein angemessenes Cybersicherheitsniveau gewährleisten und eine Fragmentierung des Binnenmarkts bei Zertifizierungsschemata verhindern. [N-CSA-1]
Der Normwortlaut
Art. 1 Abs. 1 des Cybersecurity Act bestimmt, dass in der Verordnung „a) die Ziele, Aufgaben und organisatorischen Aspekte der ENISA (Agentur der Europäischen Union für Cybersicherheit) und b) ein Rahmen für die Festlegung europäischer Schemata für die Cybersicherheitszertifizierung“ festgelegt werden. Nach Art. 46 Abs. 1 wird der europäische Zertifizierungsrahmen geschaffen, „um die Voraussetzungen für einen funktionierenden Binnenmarkt zu verbessern, indem die Cybersicherheit in der Union erhöht wird“. [N-CSA-1] [N-CSA-46]
Was regelt der Cybersecurity Act?
Zwei Dinge. Erstens das Mandat und die Aufgaben der ENISA, zweitens einen europäischen Rahmen für die Cybersicherheitszertifizierung. Beides zielt auf ein hohes gemeinsames Cybersicherheitsniveau in der Union und einen funktionierenden digitalen Binnenmarkt. [N-CSA-1]
Welche Rolle hat die ENISA?
Die eines Bezugspunkts. Die ENISA nimmt die ihr zugewiesenen Aufgaben wahr, um ein hohes gemeinsames Cybersicherheitsniveau zu erreichen; sie berät die Mitgliedstaaten und die Organe der Union, stellt Sachkenntnis bereit und unterstützt die operative Zusammenarbeit. Der Cybersecurity Act verstetigt und stärkt ihr Mandat. [N-CSA-1]
Was ist der europäische Zertifizierungsrahmen?
Ein Mechanismus für Zertifizierungsschemata. Nach Art. 46 Abs. 2 des Cybersecurity Act legt der Rahmen einen Mechanismus fest, mit dem europäische Schemata geschaffen werden und bescheinigt wird, dass bewertete IKT-Produkte, -Dienste und -Prozesse festgelegten Sicherheitsanforderungen genügen — über deren gesamten Lebenszyklus. [N-CSA-46]
Sind Zertifizierungen nach dem Cybersecurity Act verpflichtend?
Grundsätzlich freiwillig. Der Rahmen gilt unbeschadet der in anderen Rechtsakten festgelegten Bestimmungen über freiwillige oder verbindliche Zertifizierung. Europäische Zertifizierungsschemata sind damit zunächst freiwillig, können aber durch andere Rechtsakte verbindlich gemacht werden. [N-CSA-1]
Wie hängt der Cybersecurity Act mit dem CRA zusammen?
Er liefert den Zertifizierungsrahmen. Der Cyber Resilience Act kann für den Konformitätsnachweis auf europäische Cybersicherheitszertifizierungsschemata zurückgreifen, die nach dem Cybersecurity Act erlassen wurden. Beide Rechtsakte greifen damit ineinander. [N-CSA-1] [N-CSA-46]
Häufige Fehlannahmen
- „Der Cybersecurity Act regelt nur die ENISA.“ Nein. Er schafft zusätzlich den europäischen Zertifizierungsrahmen. [N-CSA-1]
- „Zertifizierungen nach dem Cybersecurity Act sind immer verpflichtend.“ Nein. Sie sind grundsätzlich freiwillig, können aber durch andere Rechtsakte verbindlich werden. [N-CSA-1]
- „Die ENISA ist eine Aufsichtsbehörde mit Durchgriffsrechten.“ Nicht in dieser Rolle. Sie ist Bezugspunkt für Beratung und Sachkenntnis und unterstützt die Zusammenarbeit. [N-CSA-1]
- „Der Zertifizierungsrahmen betrifft nur Produkte.“ Nein. Er erfasst IKT-Produkte, -Dienste und -Prozesse. [N-CSA-46]
- „Zertifikate gelten unabhängig vom Lebenszyklus.“ Nein. Der Rahmen zielt auf den Schutz über den vorgesehenen Unterstützungszeitraum und Lebenszyklus. [N-CSA-46]
- „Der Cybersecurity Act und der CRA haben nichts miteinander zu tun.“ Nein. Der CRA kann auf Schemata nach dem Cybersecurity Act zurückgreifen. [N-CSA-1]
Was die Geschäftsleitung tun sollte
- Zertifizierung prüfen. Prüfen, ob europäische Cybersicherheitszertifizierungsschemata für eigene Produkte oder Dienste relevant sind.
- ENISA-Quellen nutzen. Leitlinien und Sachkenntnis der ENISA in das eigene Sicherheitsmanagement einbeziehen.
- CRA-Bezug beachten. Den Zusammenhang mit dem Cyber Resilience Act bei der Konformitätsstrategie berücksichtigen.
- Freiwilligkeit einordnen. Klären, ob eine Zertifizierung freiwillig oder durch andere Rechtsakte verbindlich ist.
Für die Geschäftsleitung
Der Cybersecurity Act ist das Fundament der EU-Cybersicherheitsarchitektur: Er stärkt die ENISA und schafft den Rahmen für europäische Zertifizierungen. Für Unternehmen wird er vor allem dort greifbar, wo Zertifizierungsschemata den Konformitätsnachweis — etwa unter dem Cyber Resilience Act — erleichtern.
Quellen
- [N-CSA-1] Art. 1 Cybersecurity Act (VO (EU) 2019/881, Gegenstand und Geltungsbereich). Amtlich: https://eur-lex.europa.eu/eli/reg/2019/881/oj?locale=de
- [N-CSA-46] Art. 46 Cybersecurity Act (Europäischer Zertifizierungsrahmen für die Cybersicherheit). Amtlich: https://eur-lex.europa.eu/eli/reg/2019/881/oj?locale=de
