Am 20. Januar 2026 hat die EU-Kommission einen Vorschlag zur Änderung der NIS2-Richtlinie als Teil eines breiteren Cybersicherheitspakets veröffentlicht. Die sogenannte Cybersecurity Act 2 (CSA2) zielt darauf ab, den Anwendungsbereich klarer zu definieren, technische Maßnahmen zu harmonisieren und zertifizierungsbasierte Compliance-Pfade einzuführen.
Kernpunkte des Vorschlags:
- Cyber-Posture-Zertifikat: Mitgliedstaaten können von Unternehmen ein unternehmensweites Cybersicherheitszertifikat verlangen – statt nur Produkt- oder Dienstzertifizierungen.
- Stärkere ENISA-Rolle: Die europäische Cybersicherheitsagentur soll erweiterte Befugnisse bei der grenzüberschreitenden Aufsicht erhalten.
- Ransomware-Meldepflicht: Bei Vorfällen durch Ransomware müssen Unternehmen zusätzliche Fakten melden.
- Keine nationalen Alleingänge: Wenn die Kommission Durchführungsrechtsakte erlässt, dürfen Mitgliedstaaten keine zusätzlichen technischen Anforderungen auferlegen.
Das Gesetzgebungsverfahren im EU-Parlament und Rat wird für die zweite Jahreshälfte 2026 erwartet. Der aktuelle Entwurf sieht eine 12-monatige Umsetzungsfrist nach Inkrafttreten vor.