Kurzdefinition: ENISA ist die Agentur der Europäischen Union für Cybersicherheit. Sie fördert ein hohes gemeinsames Cybersicherheitsniveau, erstellt Lagebilder und Leitlinien, wirkt an der Cybersicherheitszertifizierung mit und koordiniert die Zusammenarbeit der Mitgliedstaaten — hat gegenüber einzelnen Unternehmen aber keine direkte Aufsichtsfunktion. [N-CSA-1]
Der Normwortlaut
Art. 1 Abs. 1 des Cybersecurity Act bestimmt, dass die Verordnung „a) die Ziele, Aufgaben und organisatorischen Aspekte der ENISA (Agentur der Europäischen Union für Cybersicherheit) und b) ein Rahmen für die Festlegung europäischer Schemata für die Cybersicherheitszertifizierung“ festlegt. Nach Art. 46 Abs. 1 wird der europäische Zertifizierungsrahmen geschaffen. [N-CSA-1] [N-CSA-46]
Was ist ENISA?
Die EU-Agentur für Cybersicherheit. Sie fördert ein hohes gemeinsames Niveau in der Union, erstellt Lagebilder und Leitlinien, unterstützt bei Zertifizierungsfragen und koordiniert die Mitgliedstaaten — etwa im Rahmen von NIS-2. [N-CSA-1]
Beaufsichtigt ENISA Unternehmen?
Nein. ENISA hat gegenüber einzelnen Unternehmen keine direkte Aufsichts- oder Sanktionsfunktion; diese liegt national, in Deutschland beim BSI (bzw. der BaFin unter DORA). ENISA wirkt unterstützend und koordinierend. [N-CSA-1]
Welche Rolle spielt ENISA bei der Zertifizierung?
Eine zentrale. Nach dem Cybersecurity Act wirkt ENISA am europäischen Rahmen für die Cybersicherheitszertifizierung mit und bereitet Schemata vor. Zertifikate nach diesen Schemata sollen den Binnenmarkt stärken und Vertrauen schaffen. [N-CSA-46]
Warum ist ENISA für Unternehmen dennoch relevant?
Wegen des Stands der Technik. Ihre Leitlinien, Bedrohungslageberichte und Empfehlungen prägen den Stand der Technik und die Erwartungen an gute Praxis mit. Wer sie kennt, kann seine Maßnahmen an anerkannten Maßstäben ausrichten. [N-CSA-1]
Häufige Fehlannahmen
- „ENISA beaufsichtigt Unternehmen direkt.“ Nein. Die Aufsicht liegt national beim BSI bzw. der BaFin. [N-CSA-1]
- „ENISA kann Bußgelder verhängen.“ Nein. Sie hat keine Sanktionsfunktion gegenüber Unternehmen. [N-CSA-1]
- „ENISA-Leitlinien sind irrelevant.“ Nein. Sie prägen den Stand der Technik. [N-CSA-1]
- „ENISA und das BSI sind dasselbe.“ Nein. ENISA ist die EU-Ebene, das BSI die nationale. [N-CSA-1]
- „Zertifizierung spielt für ENISA keine Rolle.“ Doch. Sie wirkt am europäischen Zertifizierungsrahmen mit. [N-CSA-46]
- „ENISA ersetzt die nationale Meldung.“ Nein. Meldepflichten laufen national. [N-CSA-1]
Was die Geschäftsleitung tun sollte
- Orientieren. ENISA-Lagebilder und -Leitlinien als Maßstab nutzen.
- Zertifizierung beobachten. Europäische Schemata für relevante Produkte verfolgen.
- Aufsicht klären. Wissen, dass die Aufsicht national erfolgt.
- Praxis ausrichten. Maßnahmen an anerkannten Maßstäben orientieren.
Für die Geschäftsleitung
Nutzen Sie ENISA-Lagebilder und -Leitlinien als Orientierung am Stand der Technik — beaufsichtigt werden Sie aber national durch das BSI bzw. die BaFin, nicht durch ENISA.
Quellen
- [N-CSA-1] Art. 1 Cybersecurity Act (VO (EU) 2019/881, Gegenstand und Anwendungsbereich). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32019R0881
- [N-CSA-46] Art. 46 Cybersecurity Act (Europäischer Rahmen für die Cybersicherheitszertifizierung). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32019R0881
