Was ist die EU-Cybersicherheitsreserve?
Die EU-Cybersicherheitsreserve bündelt Notdienste vertrauenswürdiger Anbieter verwalteter Sicherheitsdienste. Auf Antrag unterstützt sie bestimmte Nutzer bei der Reaktion auf erhebliche Cybersicherheitsvorfälle, Vorfälle großen Ausmaßes oder diesen gleichkommende Vorfälle und bei der Einleitung der Wiederherstellung.
Rechtliche Einordnung: Die Verordnung (EU) 2025/38 richtet die Reserve ein. Sie soll die in Artikel 14 Absatz 3 genannten Nutzer bei der Bewältigung erheblicher Cybersicherheitsvorfälle, Cybersicherheitsvorfällen großen Ausmaßes oder Cybersicherheitsvorfällen, die Cybersicherheitsvorfällen großen Ausmaßes gleichkommen, oder bei der Unterstützung der Bewältigung solcher Vorfälle sowie bei der Einleitung der Wiederherstellung unterstützen. Die Dienste stammen von vertrauenswürdigen Anbietern verwalteter Sicherheitsdienste, die nach Artikel 17 Absatz 2 ausgewählt werden.
Der Normwortlaut
Artikel 14 Absatz 1 der Verordnung (EU) 2025/38 lautet in der amtlichen deutschen Fassung:
Eine EU-Cybersicherheitsreserve wird eingerichtet, um auf Antrag die in Absatz 3 genannten Nutzer bei der Bewältigung erheblicher Cybersicherheitsvorfälle, Cybersicherheitsvorfällen großen Ausmaßes oder Cybersicherheitsvorfällen, die Cybersicherheitsvorfällen großen Ausmaßes gleichkommen, oder bei der Unterstützung der Bewältigung solcher Vorfälle und bei der Einleitung der Wiederherstellung nach solchen Vorfällen zu unterstützen.
Quelle: Verordnung (EU) 2025/38, Artikel 14 Absatz 1.
Auslegung: Der Wortlaut verbindet die Unterstützung mit drei Voraussetzungen: einem Antrag, einem Nutzer aus dem gesetzlich bestimmten Kreis und einem Vorfall aus einer der genannten Kategorien. Artikel 16 Absatz 8 begrenzt die Nutzung der angeforderten Dienste auf die Unterstützung der Reaktion und die Einleitung der Wiederherstellung.
Wer darf Unterstützung aus der Reserve beantragen?
Antragsberechtigt sind die Cyberkrisenmanagementbehörden und CSIRTs der Mitgliedstaaten, CERT-EU sowie die unter Artikel 19 fallenden zuständigen Stellen assoziierter Drittländer. Auch eine potenziell begünstigte Einrichtung besitzt kein eigenes Abrufrecht.
Für Mitgliedstaaten dürfen die Dienste nur zugunsten von Einrichtungen in Sektoren hoher Kritikalität oder sonstigen kritischen Sektoren eingesetzt werden. CERT-EU darf sie nur zugunsten von Organen, Einrichtungen und sonstigen Stellen der Union nutzen. Für gleichwertige Einrichtungen assoziierter Drittländer gelten zusätzlich die Voraussetzungen des Artikels 19.
Wann wird die Reserve aktiviert?
Die Leistung erfolgt nicht automatisch. Ein berechtigter Nutzer muss wegen eines erheblichen Cybersicherheitsvorfalls, eines Cybersicherheitsvorfalls großen Ausmaßes oder eines Cybersicherheitsvorfalls, der einem Cybersicherheitsvorfall großen Ausmaßes gleichkommt, Unterstützung beantragen und alle geeigneten Maßnahmen zur Minderung der Folgen treffen; dazu können unmittelbare technische Hilfe und weitere Ressourcen für Reaktion und Wiederherstellung gehören. Anträge der Mitgliedstaaten werden über deren zentrale Anlaufstelle übermittelt.
Bei konkurrierenden Anträgen gelten die Priorisierungsregeln des Artikels 16. Erhalten Anträge dieselbe Bewertung, haben Anträge von Mitgliedstaaten höhere Priorität.
Wofür dürfen die Dienste genutzt werden?
Bereitgestellte Reserveleistungen dürfen die Reaktion auf erhebliche Cybersicherheitsvorfälle, Cybersicherheitsvorfälle großen Ausmaßes oder Cybersicherheitsvorfälle, die Cybersicherheitsvorfällen großen Ausmaßes gleichkommen, und die Einleitung der Wiederherstellung unterstützen. Die gesetzliche Zweckbindung erfasst nicht die vollständige Wiederherstellung und macht die Reserve weder zu einer frei abrufbaren Einsatztruppe noch zu einem Ersatz für eigene Vorsorge.
Gesetzliche Sonderregel: Vorab gebundene Dienste, die während ihres Bindungszeitraums nicht für die Vorfallreaktion eingesetzt wurden, dürfen nach Artikel 14 Absatz 2 in Präventions- und Reaktionsbereitschaftsdienste umgewandelt werden.
Wie ist die Reserve technisch organisiert?
Technisch ist sie kein einheitliches EU-Einsatzteam, sondern ein Dienstepool ausgewählter vertrauenswürdiger Anbieter verwalteter Sicherheitsdienste. Er kann vorab gebundene Dienste umfassen und in den Mitgliedstaaten, bei Unionsstellen sowie unter den Bedingungen des Artikels 19 in assoziierten Drittländern eingesetzt werden. Die örtliche Verfügbarkeit schafft jedoch kein Abrufrecht außerhalb des gesetzlichen Nutzerkreises.
ENISA erstellt mindestens alle zwei Jahre eine Übersicht über den Bedarf der Nutzer aus den Mitgliedstaaten und von CERT-EU, die Verfügbarkeit der Dienste sowie relevante Kompetenzen und Kapazitäten von Cybersicherheitsfachkräften in der Union.
Welche Fristen und Schwellen gelten?
Eine allgemeine numerische Vorfallschwelle oder Antragsfrist enthält die Reserve-Regelung nicht. Auf Anträge von Cyberkrisenmanagementbehörden oder CSIRTs der Mitgliedstaaten und von CERT-EU muss die Vergabestelle unverzüglich, spätestens binnen 48 Stunden nach Einreichung, antworten. Nutzer, die Unterstützung erhalten haben, müssen binnen zwei Monaten nach deren Ende einen zusammenfassenden Bericht vorlegen.
Für assoziierte Drittländer gilt ein eigenes Regime: Die Angaben nach Artikel 19 Absatz 2 sind binnen drei Monaten nach Abschluss des Assoziierungsabkommens und jedenfalls vor dem Erhalt von Unterstützung zu übermitteln sowie mindestens jährlich zu aktualisieren. Über ihre Anträge ist ohne unangemessene Verzögerung zu entscheiden. Unterstützung setzt außerdem voraus, dass der Durchführungsrechtsakt des Rates nach Artikel 19 Absatz 10 in Kraft ist.
Häufige Fehlannahmen
- „Betroffene Unternehmen können die Reserve direkt abrufen.“ Nein. Den formellen Antrag stellen ausschließlich die in Artikel 14 Absatz 3 genannten institutionellen Nutzer. Bei mitgliedstaatlichen Anträgen kommen nur Einrichtungen in den gesetzlich genannten kritischen Sektoren als Begünstigte in Betracht.
- „Bei einem Vorfall wird automatisch Hilfe entsandt.“ Nein. Erforderlich sind ein Antrag, ein erheblicher Cybersicherheitsvorfall, ein Cybersicherheitsvorfall großen Ausmaßes oder ein Cybersicherheitsvorfall, der einem Cybersicherheitsvorfall großen Ausmaßes gleichkommt, sowie geeignete Maßnahmen zur Minderung seiner Folgen; konkurrierende Anträge werden priorisiert.
- „Die Reserve übernimmt die vollständige Wiederherstellung.“ Nein. Angeforderte Dienste dürfen die Reaktion und lediglich die Einleitung der Wiederherstellung unterstützen.
- „Die Reserve ist ein ständiges EU-Einsatzteam.“ Nein. Sie ist ein Pool von Notdiensten ausgewählter Anbieter verwalteter Sicherheitsdienste.
- „Für assoziierte Drittländer gelten dieselben Voraussetzungen wie für Mitgliedstaaten.“ Nein. Artikel 19 enthält zusätzliche Informations-, Aktualisierungs- und Freigabevoraussetzungen.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte richten sich an Leitungen potenziell begünstigter Einrichtungen. Bei mitgliedstaatlichen Anträgen sind dies ausschließlich Einrichtungen in Sektoren hoher Kritikalität oder sonstigen kritischen Sektoren. Für Organe, Einrichtungen und sonstige Stellen der Union läuft die Unterstützung über CERT-EU; für gleichwertige Einrichtungen assoziierter Drittländer gilt das Sonderregime des Artikels 19. Die Schritte sind aus den Antragsvoraussetzungen abgeleitet und keine eigenständigen Pflichten der Leitung aus der Cybersolidaritätsverordnung.
- Eigene Vorsorge-, Reaktions- und Wiederherstellungsressourcen sichern und die Reserve nicht als Ersatz dafür einplanen.
- Eskalations- und Kommunikationswege zum jeweils antragsberechtigten Nutzer festlegen und regelmäßig prüfen.
- Informationen zu Vorfall, Unterstützungsbedarf, geplanter Nutzung der Dienste und bereits getroffenen Minderungsmaßnahmen kurzfristig verfügbar halten.
- Sonstige verfügbare technische Unterstützung und Ressourcen dokumentieren, damit der antragsberechtigte Nutzer die Angaben nach Artikel 15 Absatz 5 zusammenstellen kann.
- Intern festlegen, wer nach Ende einer Unterstützung die benötigten Informationen für den binnen zwei Monaten fälligen zusammenfassenden Bericht liefert.
Für die Geschäftsleitung
Reichweite: Bei mitgliedstaatlichen Anträgen erweitert die Reserve die Reaktionsmöglichkeiten ausschließlich zugunsten von Einrichtungen in Sektoren hoher Kritikalität oder sonstigen kritischen Sektoren. Für Unionsorgane, -einrichtungen und -stellen ist CERT-EU der Nutzer; für gleichwertige Einrichtungen assoziierter Drittländer gelten die zusätzlichen Regeln des Artikels 19. Sonstige Unternehmen erhalten aus dieser Regelung keine Unterstützungsmöglichkeit.
Entscheidung und Nachweis: Eine potenziell begünstigte Einrichtung besitzt kein eigenes Abrufrecht und sollte die Reserve nicht anstelle betrieblicher Vorsorge einplanen. Belastbare Eskalationswege zum zuständigen institutionellen Nutzer, vorbereitete Antragsinformationen und eigene Ressourcen bleiben entscheidend. Dokumentiert werden sollten Zuständigkeiten, Minderungsmaßnahmen, Unterstützungsbedarf, weitere verfügbare Hilfe und die Zuarbeit zum Abschlussbericht.
Quellen
- Verordnung (EU) 2025/38 des Europäischen Parlaments und des Rates vom 19. Dezember 2024 über Maßnahmen zur Stärkung der Solidarität und der Kapazitäten in der Union für die Erkennung von Cyberbedrohungen und Sicherheitsvorfällen, die Vorsorge dafür und deren Bewältigung und zur Änderung der Verordnung (EU) 2021/694 (Cybersolidaritätsverordnung), insbesondere Artikel 14 bis 17 und Artikel 19, amtliche deutsche Fassung, Rechtsstand 7. August 2026.
