Start / Themen / Digitalisierung & KI / Antwort
Digitalisierung & KI

Cybersecurity Act, NIS2 und Cyber Resilience Act: Drei EU-Gesetze, drei verschiedene Ansatzpunkte

Kurz gesagt

Der Cybersecurity Act (Verordnung (EU) 2019/881) schafft einen grundsätzlich freiwilligen europäischen Rahmen zur Zertifizierung der Cybersicherheit von IKT-Produkten, -Diensten und -Prozessen und stärkt die EU-Agentur ENISA. Er ist damit klar von NIS2 zu unterscheiden, die organisatorische Mindestanforderungen an bestimmte Betreiber stellt, und vom Cyber Resilience Act, der Produktsicherheitsanforderungen für Hersteller digitaler Produkte festlegt.

Was der Cybersecurity Act konkret regelt

  • ENISA-Mandat: Der CSA etabliert ENISA als dauerhafte EU-Agentur für Cybersicherheit. Zu ihren Aufgaben zählen Beratung und Unterstützung der Mitgliedstaaten und EU-Institutionen, Hilfe bei der Umsetzung der EU-Cybersicherheitspolitik, Kompetenzaufbau, Lage- und Risikobewertungen sowie Unterstützung bei grenzüberschreitenden Sicherheitsvorfällen.
  • Europäischer Zertifizierungsrahmen: Der CSA schafft ein Verfahren, nach dem die EU-Kommission europäische Cybersicherheitszertifizierungsschemata erlässt. Diese legen fest, was bewertet wird, nach welchen Sicherheitsanforderungen, mit welchen Vertrauensstufen und durch welche Konformitätsbewertungsstellen.
  • Erfasste Gegenstände: Zertifiziert werden können IKT-Produkte, IKT-Dienste und IKT-Prozesse. Ein Zertifikat bescheinigt die Einhaltung der Anforderungen des jeweiligen Schemas — für zertifizierte Gegenstände gilt insoweit eine Vermutung der Konformität mit diesen Schemaanforderungen.
  • EUCC als Beispiel: Das EUCC-Schema ist das europäische, auf den Common Criteria basierende Zertifizierungsschema für IKT-Produkte — Hardware ebenso wie Softwarekomponenten — und wurde durch die Durchführungsverordnung (EU) 2024/482 konkretisiert.

Freiwillig — mit Ausnahmen

Nach Art. 56 CSA ist die Cybersicherheitszertifizierung grundsätzlich freiwillig, solange Unionsrecht oder nationales Recht keine Pflicht vorsieht. Verbindlich kann sie dennoch werden:

  • wenn ein anderes EU-Rechtsinstrument sie für bestimmte Produkte, Dienste oder Sektoren verlangt,
  • wenn nationales Recht dies im zulässigen Rahmen vorsieht,
  • mittelbar durch öffentliche Beschaffung oder vertragliche Anforderungen, wenn ein Auftraggeber ein bestimmtes Zertifikat verlangt.

Der CSA beziehungsweise das EUCC-Schema allein verpflichtet einen Hersteller also nicht automatisch zur Zertifizierung.

Die klare Abgrenzung zu NIS2 und CRA

| Rechtsakt | Worum geht es | Hauptadressaten | Typische Pflichten | Zertifizierungspflicht | |---|---|---|---|---| | Cybersecurity Act (2019/881) | EU-Governance durch ENISA und freiwilliger Zertifizierungsrahmen für IKT-Produkte, -Dienste, -Prozesse | ENISA, Zertifizierungsstellen, Hersteller/Anbieter, die ein Zertifikat nutzen wollen | Anwendung eines europäischen Zertifizierungsschemas (z. B. EUCC) als Vertrauens- und Konformitätsnachweis | Grundsätzlich freiwillig; Pflicht nur, wenn anderes Recht sie anordnet | | NIS2 (2022/2555) | Organisatorische und technische Mindestanforderungen für ein hohes Cybersicherheitsniveau, Melde- und Aufsichtspflichten | Bestimmte öffentliche und private Einrichtungen in erfassten Sektoren (wichtige und besonders wichtige Einrichtungen) | Risikomanagement, Incident-Handling, Business Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Meldung erheblicher Vorfälle, Leitungsverantwortung | Keine allgemeine Produktzertifizierungspflicht | | Cyber Resilience Act (2024/2847) | Produktsicherheitsrecht für Produkte mit digitalen Elementen | Hersteller, außerdem Einführer und Händler | Sicherheitsanforderungen über den gesamten Produktlebenszyklus, Schwachstellen- und Sicherheitsupdates, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung | Für bestimmte Produktklassen können verbindliche Konformitätsbewertungs- oder Zertifizierungsverfahren gelten |

Der Merksatz

Der Cybersecurity Act schafft den europäischen Zertifizierungsbaukasten und stärkt ENISA. NIS2 regelt, wie bestimmte Organisationen ihre Netz- und Informationssysteme absichern und Vorfälle behandeln müssen. Der Cyber Resilience Act regelt, welche Cybersicherheitsanforderungen Hersteller in ihre digitalen Produkte einbauen und vor dem Inverkehrbringen nachweisen müssen. Der CSA knüpft also an Zertifizierung und Vertrauensnachweise an, NIS2 an die betreibende Organisation, der CRA an das Produkt selbst.

Was das für Ihr Unternehmen bedeutet

NIS2 verpflichtet nicht automatisch zur EUCC-Zertifizierung, und ein EUCC-Zertifikat ersetzt umgekehrt nicht automatisch die organisatorischen Pflichten nach NIS2 oder die Produktsicherheits- und Konformitätspflichten nach dem CRA. Ein Unternehmen kann daher gleichzeitig als NIS2-Betreiber organisatorische Pflichten haben, als Hersteller digitaler Produkte dem CRA unterliegen und zusätzlich freiwillig eine CSA-Zertifizierung anstreben, um Vertrauen bei Kunden oder öffentlichen Auftraggebern zu schaffen. Welche der drei Regelwerke tatsächlich greifen, hängt von der konkreten Rolle — Betreiber, Hersteller, Anbieter eines Zertifikats — und dem betroffenen Sektor ab.

Häufige Fragen

Muss ich als Softwarehersteller eine CSA-Zertifizierung beantragen?
Nein, grundsätzlich freiwillig, es sei denn, ein Auftraggeber oder ein anderes EU-Rechtsinstrument verlangt es konkret.
Ersetzt eine NIS2-Umsetzung die CRA-Pflichten für mein Produkt?
Nein, beide Regelwerke haben unterschiedliche Anknüpfungspunkte und bestehen unabhängig voneinander.
Was ist das EUCC-Schema?
Das europäische, auf den Common Criteria basierende Zertifizierungsschema für IKT-Produkte im Rahmen des Cybersecurity Act.
Kann ein öffentlicher Auftraggeber eine CSA-Zertifizierung verpflichtend verlangen?
Ja, über die Vergabeunterlagen kann ein Auftraggeber ein Zertifikat als Eignungs- oder Zuschlagskriterium verlangen, auch wenn der CSA selbst keine generelle Pflicht vorschreibt.