Europa sieht sich täglich Cyberangriffen und hybriden Angriffen auf grundlegende Dienste und demokratische Institutionen ausgesetzt, die von hochentwickelten staatlichen und kriminellen Gruppen ausgeführt werden. Die Europäische Kommission hat heute ein neues Cybersicherheitspaket vorgeschlagen, um die Widerstandsfähigkeit und Fähigkeiten der EU im Bereich der Cybersicherheit angesichts dieser wachsenden Bedrohungen weiter zu stärken.
Das Paket enthält einen Vorschlag für einen überarbeiteten Rechtsakt zur Cybersicherheit, mit dem die Sicherheit der Lieferketten der EU im Bereich der Informations- und Kommunikationstechnologien (IKT) verbessert wird. Sie stellt sicher, dass Produkte, die EU-Bürger erreichen, durch ein einfacheres Zertifizierungsverfahren durch Technikgestaltung cybersicher sind. Sie erleichtert auch die Einhaltung der bestehenden EU-Cybersicherheitsvorschriften und stärkt die Agentur der Europäischen Union für Cybersicherheit (ENISA) bei der Unterstützung der Mitgliedstaaten und der EU beim Umgang mit Cybersicherheitsbedrohungen.
Stärkung der Sicherheit der IKT-Lieferketten in der EU
Das neue Cybersicherheitsgesetz zielt darauf ab, die Risiken in der IKT-Lieferkette der EU von Lieferanten aus Drittländern mit Cybersicherheitsbedenken zu verringern. Sie legt einen vertrauenswürdigen Rahmen für die Sicherheit der IKT-Lieferkette auf der Grundlage eines harmonisierten, verhältnismäßigen und risikobasierten Ansatzes fest. Dies wird es der EU und den Mitgliedstaaten ermöglichen, Risiken in den 18 kritischen Sektoren der EU gemeinsam zu ermitteln und zu mindern, wobei auch die wirtschaftlichen Auswirkungen und das Marktangebot berücksichtigt werden.
Jüngste Cybersicherheitsvorfälle haben die großen Risiken aufgezeigt, die von Schwachstellen in den IKT-Lieferketten ausgehen, die für das Funktionieren kritischer Dienste und Infrastrukturen von wesentlicher Bedeutung sind. In der heutigen geopolitischen Landschaft geht es bei der Lieferkettensicherheit nicht mehr nur um technische Produkt- oder Dienstleistungssicherheit, sondern auch um Risiken im Zusammenhang mit einem Lieferanten, insbesondere Abhängigkeiten und ausländische Einflussnahme.
Das Cybersicherheitsgesetz wird es ermöglichen, auf der Grundlage der bereits im Rahmen des 5G-Sicherheitsinstrumentariums durchgeführten Arbeiten die europäischen Mobilfunknetze von Hochrisikoanbietern aus Drittländern zu verhökern.
Vereinfachung und Verbesserung des europäischen Rahmens für die Cybersicherheitszertifizierung
Mit dem überarbeiteten Rechtsakt zur Cybersicherheit wird sichergestellt, dass Produkte und Dienstleistungen, die Verbraucher in der EU erreichen, effizienter auf ihre Sicherheit getestet werden. Dies wird durch einen erneuerten Europäischen Rahmen für die Cybersicherheitszertifizierung (ECCF) geschehen. Der ECCF wird mehr Klarheit und einfachere Verfahren schaffen, so dass Zertifizierungssysteme standardmäßig innerhalb von 12 Monaten entwickelt werden können. Sie wird auch eine agilere und transparentere Governance einführen, um die Interessenträger durch öffentliche Information und Konsultation besser einzubinden.
Zertifizierungssysteme, die von der ENISA verwaltet werden, werden zu einem praktischen, freiwilligen Instrument für Unternehmen. Sie werden es den Unternehmen ermöglichen, die Einhaltung der EU-Rechtsvorschriften nachzuweisen, wodurch der Aufwand und die Kosten verringert werden. Über IKT-Produkte, -Dienste, -Prozesse und Managed Security Services hinaus werden Unternehmen und Organisationen in der Lage sein, ihre Cyber-Position zu zertifizieren, um den Marktbedürfnissen gerecht zu werden. Letztendlich wird der erneuerte ECCF ein Wettbewerbsvorteil für EU-Unternehmen sein. Für EU-Bürger, Unternehmen und Behörden wird sie ein hohes Maß an Sicherheit und Vertrauen in komplexe IKT-Lieferketten gewährleisten.
Erleichterung der Einhaltung der Cybersicherheitsvorschriften
Mit dem Paket werden Maßnahmen eingeführt, um die Einhaltung der EU-Cybersicherheitsvorschriften und der Risikomanagementanforderungen für Unternehmen, die in der EU tätig sind, zu vereinfachen und die im digitalen Omnibus vorgeschlagene zentrale Anlaufstelle für die Meldung von Sicherheitsvorfällen zu ergänzen. Gezielte Änderungen der NIS2-Richtlinie zielen darauf ab, die Rechtsklarheit zu erhöhen. Sie erleichtern die Einhaltung der Vorschriften für 28.700 Unternehmen, darunter 6.200 Kleinst- und Kleinunternehmen. Sie werden auch eine neue Kategorie kleiner Midcap-Unternehmen einführen, um die Befolgungskosten für 22.500 Unternehmen zu senken. Mit den Änderungen werden die Zuständigkeitsvorschriften vereinfacht, die Erhebung von Daten über Ransomware-Angriffe gestrafft und die Beaufsichtigung grenzüberschreitender Einrichtungen mit der verstärkten Koordinierungsfunktion der ENISA erleichtert.
Stärkung der ENISA zur Stärkung der Cybersicherheitsresilienz Europas
Seit der Annahme des ersten Rechtsakts zur Cybersicherheit im Jahr 2019 hat sich die ENISA zu einem Eckpfeiler des Cybersicherheitsökosystems der EU entwickelt. Mit dem heute vorgelegten überarbeiteten Rechtsakt zur Cybersicherheit kann die ENISA der EU und ihren Mitgliedstaaten helfen, die gemeinsamen Bedrohungen zu verstehen. Es ermöglicht ihnen auch, sich auf Cyber-Vorfälle vorzubereiten und darauf zu reagieren.
Die Agentur wird Unternehmen und Interessenträger, die in der EU tätig sind, weiter unterstützen, indem sie frühzeitige Warnungen vor Cyberbedrohungen und -vorfällen ausgibt. In Zusammenarbeit mit Europol und Computer Security Incident Response Teams wird es Unternehmen dabei unterstützen, auf Ransomware-Angriffe zu reagieren und sich von ihnen zu erholen. Die ENISA wird auch einen Ansatz der Union entwickeln, um den Interessenträgern bessere Dienste für das Schwachstellenmanagement anzubieten. Sie wird die im digitalen Omnibus vorgeschlagene zentrale Anlaufstelle für die Meldung von Vorfällen betreiben.
Die ENISA wird weiterhin eine Schlüsselrolle beim weiteren Aufbau qualifizierter Arbeitskräfte im Bereich der Cybersicherheit in Europa spielen. Dazu wird sie die Akademie für Cybersicherheitskompetenzen erproben und EU-weite Bescheinigungssysteme für Cybersicherheitskompetenzen einrichten.
Nächste Schritte
Der Rechtsakt zur Cybersicherheit wird unmittelbar nach der Genehmigung durch das Europäische Parlament und den Rat der EU gelten. Die begleitenden Änderungen der NIS2-Richtlinie werden ebenfalls zur Genehmigung vorgelegt. Nach ihrer Annahme haben die Mitgliedstaaten ein Jahr Zeit, um die Richtlinie in nationales Recht umzusetzen und der Kommission die einschlägigen Texte zu übermitteln.
Für weitere Informationen
Einzelheiten
- Datum der Veröffentlichung
- 20. Januar 2026
- Autor
- Vertretung in Luxembourg