Was ist die Cybersolidaritätsverordnung?
Die Cybersolidaritätsverordnung (EU) 2025/38 stärkt unionsweite Kapazitäten zur Erkennung, Vorsorge und Bewältigung von Cyberbedrohungen und Sicherheitsvorfällen durch ein Warnsystem, einen Notfallmechanismus und einen Überprüfungsmechanismus.
Der Normwortlaut
In dieser Verordnung werden Maßnahmen zur Stärkung der Kapazitäten in der Union für die Erkennung von, Vorsorge für und Bewältigung von Cyberbedrohungen und Sicherheitsvorfällen festgelegt, und zwar insbesondere durch die Einrichtung a) eines europaweiten Netzes von Cyber-Hubs (im Folgenden „europäisches Warnsystem für Cybersicherheit“), um Fähigkeiten zur koordinierten Erkennung und gemeinsamen Lageerfassung aufzubauen und zu verbessern; b) eines Cybernotfallmechanismus zur Unterstützung der Mitgliedstaaten bei der Vorsorge für, Bewältigung und Eindämmung der Auswirkungen von und Einleitung der Wiederherstellung nach schwerwiegenden Cybersicherheitsvorfällen und Cybersicherheitsvorfällen großen Ausmaßes und zur Unterstützung anderer Nutzer bei der Reaktion auf Cybersicherheitsvorfällen großen Ausmaßes und einem Cybersicherheitsvorfall großen Ausmaßes gleichwertige Sicherheitsvorfälle; c) eines europäischen Überprüfungsmechanismus für Cybersicherheitsvorfälle zur Überprüfung und Bewertung von schwerwiegenden Cybersicherheitsvorfällen und Cybersicherheitsvorfällen großen Ausmaßes.
Quelle: Verordnung (EU) 2025/38, Artikel 1 Absatz 1 Buchstaben a bis c, amtliche deutsche Fassung bei EUR-Lex.
Rechtliche Einordnung: Die drei Instrumente verfolgen unterschiedliche Zwecke. Insbesondere unterstützt der Notfallmechanismus „andere Nutzer“ nicht bei jedem Vorfall, sondern bei Cybersicherheitsvorfällen großen Ausmaßes oder gleichwertigen Sicherheitsvorfällen.
Für wen ist die Verordnung relevant?
Normative Reichweite: Sie regelt primär einen institutionellen Kapazitäts- und Unterstützungsrahmen. Nationale und grenzübergreifende Cyber-Hubs nehmen freiwillig am Warnsystem teil. Reserveleistungen stehen nur den in Artikel 14 Absatz 3 bezeichneten Nutzern offen: den dort genannten Cyberkrisenmanagementbehörden und CSIRTs, CERT-EU sowie bestimmten Behörden assoziierter DIGITAL-Drittländer. Für diese Drittländer gelten zusätzlich die Voraussetzungen des Artikels 19 Absatz 1. Eine allgemeine unmittelbare Cybersicherheitspflicht sämtlicher Unternehmen entsteht dadurch nicht.
Wann kann die EU-Cybersicherheitsreserve unterstützen?
Normative Voraussetzungen: Erforderlich sind jeweils der Antrag eines zugelassenen Nutzers nach Artikel 14 Absatz 3 und ein für diese Nutzergruppe erfasster Vorfall. Für die Cyberkrisenmanagementbehörden und CSIRTs der Mitgliedstaaten nach Artikel 14 Absatz 3 Buchstabe a kann die Reserve bei einem schwerwiegenden Cybersicherheitsvorfall oder einem Cybersicherheitsvorfall großen Ausmaßes unterstützen. Für CERT-EU nach Buchstabe b und die zuständigen Behörden assoziierter DIGITAL-Drittländer nach Buchstabe c ist die Unterstützung auf Cybersicherheitsvorfälle großen Ausmaßes oder gleichwertige Sicherheitsvorfälle beschränkt. Die Unterstützung dient der Reaktion und der Einleitung der anschließenden Wiederherstellung. Der Nutzer muss alle geeigneten Eindämmungsmaßnahmen ergriffen haben und gegebenenfalls eigene technische Unterstützung sowie andere Ressourcen bereitstellen.
Welche Fristen und Schwellen gelten?
Normative Spezialfristen: Es gibt keine allgemeine Unternehmensfrist. Bei Anträgen von Nutzern nach Artikel 14 Absatz 3 Buchstabe a oder b muss der öffentliche Auftraggeber unverzüglich, spätestens binnen 48 Stunden nach Antragseinreichung, antworten. Für Drittlandsnutzer gilt das besondere Verfahren nach Artikel 19 Absatz 10. Ein assoziiertes DIGITAL-Drittland muss die Informationen nach Artikel 19 Absatz 2 binnen drei Monaten nach Abschluss des Assoziierungsabkommens und jedenfalls vor Reserveunterstützung übermitteln; die Teilnahme an der Reserve muss nach Artikel 19 Absatz 1 im Assoziierungsabkommen vorgesehen sein. Diese Spezialfristen sind weder Unternehmensfristen noch allgemeine Schwellenwerte der Verordnung.
Welche Grenzen gelten für die Zusammenarbeit?
Normative Grenzen: Wesentliche staatliche Funktionen und die alleinige Verantwortung der Mitgliedstaaten für die nationale Sicherheit bleiben unberührt. Vertrauliche Informationen dürfen nur weitergegeben werden, soweit dies relevant und verhältnismäßig ist. Ihre Bereitstellung unterbleibt, wenn die Offenlegung wesentlichen Interessen der nationalen Sicherheit, der öffentlichen Sicherheit oder der Verteidigung zuwiderliefe.
Wie ist der Rechtsakt technisch einzuordnen?
Technische Einordnung: Der Cyber Solidarity Act ist ein föderierter Kapazitäts- und Kooperationsrahmen, kein von Unternehmen zu installierendes Werkzeug. Das Warnsystem verbindet Cyber-Hubs; die Reserve besteht aus Reaktionsdiensten vertrauenswürdiger Anbieter verwalteter Sicherheitsdienste. Nationale Cyber-Hubs dürfen zur Erkennung und Prävention mit privaten Einrichtungen relevante Daten und Informationen austauschen. Soweit angezeigt und mit Unionsrecht und nationalem Recht vereinbar, können dazu Telemetrie-, Sensor- und Protokolldaten gehören. Daraus folgt weder ein allgemeines Unternehmens-Überwachungsgebot noch eine allgemeine Mitwirkungspflicht privater Einrichtungen.
Was bedeuten freiwillige Abwehrbereitschaftstests für kritische Einrichtungen?
Normative Einordnung: Koordinierte Abwehrbereitschaftstests nach Artikel 12 sind freiwillig. Voraussetzung ist unter anderem, dass die Kommission den betreffenden Sektor oder Teilsektor für einen Aufruf bestimmt hat. Nimmt eine Einrichtung teil, sind Empfehlungen und Maßnahmen in einem Abhilfeplan zu berücksichtigen; die zuständige Behörde kann die Weiterverfolgung gegebenenfalls überprüfen. Daraus entsteht keine allgemeine Teilnahmepflicht.
Häufige Fehlannahmen
- „Alle Unternehmen erhalten neue Pflichten.“ Nein. Die Verordnung schafft primär institutionelle EU-Kapazitäten; unmittelbare Rollen und Voraussetzungen unterscheiden sich nach Instrument.
- „Jedes Unternehmen kann die Reserve direkt anfordern.“ Nein. Antragsberechtigt sind nur die Nutzer nach Artikel 14 Absatz 3 und nur unter den Voraussetzungen des Artikels 15.
- „Die 48-Stunden-Frist gilt für betroffene Unternehmen.“ Nein. Sie bindet bei Anträgen bestimmter zugelassener Nutzer den öffentlichen Auftraggeber; für Drittlandsnutzer besteht ein Spezialverfahren.
- „Private Einrichtungen müssen Telemetrie- und Protokolldaten liefern.“ Nein. Artikel 3 ermöglicht einen rechtlich begrenzten Informationsaustausch, ordnet aber keine allgemeine Mitwirkungspflicht an.
- „Abwehrbereitschaftstests sind verpflichtend.“ Nein. Die Teilnahme ist freiwillig; erst bei Teilnahme werden Empfehlungen, Abhilfeplan und eine mögliche behördliche Weiterverfolgung relevant.
Was die Geschäftsleitung tun sollte
Praxisempfehlungen, keine zusätzlichen Rechtspflichten aus der Verordnung:
- Mit der zuständigen nationalen Stelle klären, ob die Organisation in einem ausgewählten Sektor mit hoher Kritikalität für einen freiwilligen koordinierten Abwehrbereitschaftstest in Betracht kommt.
- Belastbare interne Eskalationswege sowie Kontakte zu zuständigen Behörden und Incident-Response-Partnern dokumentieren und regelmäßig prüfen.
- Bei freiwilliger Testteilnahme Empfehlungen, Abhilfeplan, Verantwortlichkeiten und Weiterverfolgung nachvollziehbar festhalten, da die zuständige Behörde diese gegebenenfalls überprüfen kann.
- In der Compliance-Matrix dokumentieren, dass der Act keine allgemeine Unternehmenspflicht schafft, und davon getrennt prüfen, welche Pflichten aus anderen tatsächlich anwendbaren Rechtsakten bestehen.
Für die Geschäftsleitung
Reichweite: Der Act baut EU-weite Erkennungs-, Unterstützungs- und Überprüfungskapazitäten auf, statt sämtlichen Unternehmen ein neues Pflichtenprogramm aufzuerlegen. Entscheidung: Zu klären ist, ob die eigene Organisation für freiwillige Tests oder nationale Unterstützungsabläufe relevant ist. Nachweis: Zuständigkeiten, Behördenkontakte, die Entscheidung über eine Teilnahme sowie gegebenenfalls Empfehlungen, Abhilfeplan und deren Weiterverfolgung sollten nachvollziehbar dokumentiert werden.
Quellen
- Verordnung (EU) 2025/38 – amtliche deutsche Fassung, insbesondere Artikel 1, 3, 12, 14 bis 16 und 19.
- EUR-Lex, CELEX 32025R0038, amtlicher Volltext der Cybersolidaritätsverordnung.
