EU Cybersecurity Act einfach erklärt: ENISA-Mandat & Zertifizierung

Der EU Cybersecurity Act (Verordnung (EU) 2019/881, offiziell „Verordnung über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik") ist einer der weniger bekannten, aber grundlegenden Bausteine der EU-Cybersicherheitsarchitektur. Er verleiht der EU-Agentur ENISA ein dauerhaftes Mandat und schafft einen europaweiten Rahmen für die freiwillige Zertifizierung der Cybersicherheit von IT-Produkten, -Diensten und -Prozessen. Diese Seite erklärt, was der Cybersecurity Act konkret regelt – und wie er sich zu NIS2 verhält.

Was ist der EU Cybersecurity Act?

Der Cybersecurity Act (CSA) wurde am 17. April 2019 verabschiedet und trat am 27. Juni 2019 in Kraft. Anders als NIS2 oder die CER-Richtlinie ist der CSA eine Verordnung – er gilt daher unmittelbar in allen EU-Mitgliedstaaten und musste nicht erst in nationales Recht umgesetzt werden. Der CSA ersetzte die bisherige ENISA-Verordnung (EU) Nr. 526/2013 und ruht auf zwei Säulen: einem dauerhaften Mandat für die europäische Cybersicherheitsagentur ENISA und einem europäischen Zertifizierungsrahmen für die Cybersicherheit von IKT-Produkten, -Diensten und -Prozessen.

Säule 1: Das dauerhafte Mandat der ENISA

ENISA wurde bereits 2004 gegründet, verfügte aber lange nur über ein befristetes, mehrfach verlängertes Mandat. Der CSA beendet diese Unsicherheit und stattet ENISA mit einem unbefristeten Mandat sowie deutlich erweiterten Aufgaben und Ressourcen aus. Zu den zentralen ENISA-Aufgaben zählen:

• Beratung von Mitgliedstaaten und EU-Institutionen zu Cybersicherheitspolitik, -strategie und -gesetzgebung.
• Operative Zusammenarbeit: ENISA stellt das Sekretariat des CSIRTs-Netzwerks, das die operative Zusammenarbeit der nationalen Computer Security Incident Response Teams bei grenzüberschreitenden Vorfällen koordiniert.
• EU-CyCLONe: ENISA stellt zudem das Sekretariat des europäischen Cyberkrisen-Verbindungsorganisationsnetzwerks (EU-CyCLONe), das die koordinierte Bewältigung groß angelegter, grenzüberschreitender Cybersicherheitsvorfälle und -krisen auf operativer Ebene unterstützt.
• Sekretariat der NIS-Kooperationsgruppe, die den strategischen Austausch zwischen den NIS2-Behörden der Mitgliedstaaten organisiert.
• Aufbau des europäischen Zertifizierungsrahmens (Säule 2, siehe unten) inklusive technischer Vorarbeit für neue Zertifizierungsschemata.
• Sensibilisierung und Kapazitätsaufbau: jährlicher European Cybersecurity Month, Threat-Landscape-Berichte, Schulungsmaterial für KMU und Behörden.

Für Unternehmen bedeutet das: ENISA begründet keine unmittelbaren Pflichten für Unternehmen, sondern unterstützt die Behörden, die NIS2, CER oder andere Regulierungen durchsetzen – mit Leitfäden, technischen Standards und operativer Koordination.

Säule 2: Der europäische Zertifizierungsrahmen

Vor dem CSA konnte ein Hersteller gezwungen sein, dasselbe IT-Produkt in mehreren Mitgliedstaaten nach unterschiedlichen nationalen Verfahren zertifizieren zu lassen. Der CSA schafft dafür einen einheitlichen Rahmen: Die Kommission kann auf Vorschlag der ENISA europäische Zertifizierungsschemata erlassen, die dann EU-weit anerkannt werden – ein Zertifikat gilt in allen 27 Mitgliedstaaten. Die Zertifizierung nach dem CSA ist grundsätzlich freiwillig, sofern nicht anderes EU- oder nationales Recht eine Pflicht vorsieht.

Bislang existieren bzw. befinden sich folgende Schemata in unterschiedlichen Reifegraden:

Schema	Anwendungsbereich	Status
EUCC	ICT-Produkte (Hardware, Software) auf Basis der Common-Criteria-Standards	Verabschiedet durch Durchführungsverordnung (EU) 2024/482 der Kommission (31.01.2024), anwendbar seit Anfang 2025; laufend gepflegt (u. a. Änderungsverordnung (EU) 2024/3144)
EUCS	Cloud-Dienste (IaaS, PaaS, SaaS) in drei Sicherheitsstufen (basic, substantial, high)	Von ENISA als Kandidatenschema erarbeitet; Assessment-Kapazitäten laut ENISA seit 2026 im Aufbau. Für den aktuellen Verabschiedungsstand als Durchführungsrechtsakt siehe die ENISA-Quelle unten.
EU5G	Ausgewählte Komponenten von 5G-Netzen (Netzausrüstung, Teilnehmeridentitäten, Remote-SIM-Provisioning, Authentifizierung)	Seit 2021 in Erarbeitung durch eine ENISA-Ad-hoc-Arbeitsgruppe; noch kein verabschiedeter Durchführungsrechtsakt

Nationale Zertifizierungsstellen wachen über die Umsetzung – in Deutschland ist dies das BSI. Die Kommission kann außerdem in anderen Rechtsakten festlegen, dass bestimmte Produkte oder Dienste eine CSA-Zertifizierung benötigen; bislang ist das nicht flächendeckend der Fall.

Warum die freiwillige Zertifizierung an Bedeutung gewinnt

Auch wenn der CSA selbst keine Zertifizierungspflicht auferlegt, wird die Zertifizierung durch Verweise in anderen Rechtsakten praktisch relevanter: Der Cyber Resilience Act erkennt CSA-Zertifikate als eine Möglichkeit an, die Konformität mit bestimmten Cybersicherheitsanforderungen für Produkte mit digitalen Elementen nachzuweisen. Auch im Beschaffungswesen von Behörden und in Lieferantenbewertungen im Rahmen von NIS2 oder DORA dient eine EUCC- oder künftig EUCS-Zertifizierung zunehmend als anerkannter Nachweis eines Mindestsicherheitsniveaus, ohne dass jedes Unternehmen die zugrunde liegenden technischen Kontrollen selbst im Detail prüfen muss.

Im Januar 2026 hat die EU-Kommission zudem ein Reformpaket vorgeschlagen, das unter dem Namen „Cybersecurity Act 2.0" (CSA2) firmiert. Es zielt darauf ab, NIS2 zu vereinfachen, die Rolle der ENISA bei der grenzüberschreitenden Aufsicht zu stärken und ein unternehmensweites „Cyber-Posture-Zertifikat" als möglichen Compliance-Nachweis einzuführen. Details zu diesem noch laufenden Gesetzgebungsverfahren finden Sie in unserem Artikel Cybersecurity Act 2: EU-Kommission will NIS2 vereinfachen und ENISA stärken.

Wer ist vom Cybersecurity Act betroffen?

Anders als NIS2 richtet sich der CSA nicht an einen breiten Kreis von Unternehmen mit direkten Handlungspflichten. Betroffen sind in erster Linie:

• ENISA selbst als EU-Agentur mit dem im CSA definierten Mandat.
• Hersteller und Anbieter von IKT-Produkten, -Diensten und -Prozessen, die sich freiwillig für eine Zertifizierung nach einem der Schemata entscheiden – etwa um sich im Wettbewerb oder gegenüber Kunden zu differenzieren.
• Unternehmen, die durch andere Rechtsakte oder nationale Vorgaben (z. B. bestimmte Ausschreibungen der öffentlichen Hand) zur Zertifizierung verpflichtet werden.
• Nationale Zertifizierungsstellen und Konformitätsbewertungsstellen, die Zertifikate ausstellen bzw. beaufsichtigen (in Deutschland: BSI und die von ihm akkreditierten Stellen).

Für die meisten kleinen und mittleren Unternehmen, die NIS2, DORA oder andere Regulierungen umsetzen müssen, bleibt der CSA im Alltag eher im Hintergrund: Sie profitieren indirekt von ENISA-Leitfäden und -Berichten und können bei Bedarf auf zertifizierte Produkte zurückgreifen, ohne selbst eine eigene CSA-Zertifizierung zu benötigen.

Sanktionen: Gibt es Bußgelder nach dem Cybersecurity Act?

Der CSA ist überwiegend institutionelle und Rahmengesetzgebung – anders als NIS2 (Art. 34) enthält er keinen EU-weit harmonisierten Bußgeldrahmen für Unternehmen. Art. 65 CSA verpflichtet die Mitgliedstaaten lediglich, Sanktionen für Verstöße gegen den Zertifizierungsteil (Titel III) und gegen konkrete Zertifizierungsschemata festzulegen – diese müssen „wirksam, verhältnismäßig und abschreckend" sein, die genaue Höhe bleibt aber national geregelt. In Deutschland kann die zuständige Zertifizierungsstelle beispielsweise gegen Inhaber eines EUCC-Zertifikats, die ihrer Pflicht zur Meldung entdeckter Schwachstellen nicht nachkommen, ein Bußgeld von bis zu 500.000 € verhängen; zusätzlich sind die Aussetzung (bis zu 42 Tage, in begründeten Fällen bis zu einem Jahr) oder der Entzug des Zertifikats möglich. Unternehmen ohne CSA-Zertifizierung sind von diesem Sanktionsregime nicht direkt betroffen.

Verhältnis zu NIS2

Praktische nächste Schritte

1. Prüfen, ob Ihr Unternehmen ohnehin unter NIS2 fällt – dort liegen die unmittelbaren Pflichten: kostenloser NIS2-Check.
2. Bei eigener Produktentwicklung (Hardware/Software): abwägen, ob eine EUCC-Zertifizierung als Vertriebs- oder Ausschreibungsvorteil sinnvoll ist.
3. Bei Cloud-Beschaffung: Lieferanten nach dem Stand ihrer EUCS-Zertifizierung fragen, sobald das Schema final verabschiedet ist.
4. CSA2-Entwicklung im Blick behalten: Cybersecurity Act 2 – aktueller Stand.
5. Für die konkrete NIS2-Umsetzung auf fertige NIS2-Vorlagen zurückgreifen statt bei null zu starten.

Häufig gestellte Fragen zum EU Cybersecurity Act