Cybersecurity Act: Der europäische Rahmen für Cybersicherheitszertifizierung
Der Cybersecurity Act gibt der ENISA ihr dauerhaftes Mandat und schafft den Rahmen, in dem europäische Zertifizierungsschemata für IKT-Produkte, -Dienste und -Prozesse entstehen. Seit Januar 2026 liegt ein Vorschlag für eine grundlegende Revision auf dem Tisch. Diese Seite ordnet ein, was heute gilt, was geplant ist und was Unternehmen daraus ableiten sollten.
- 2019 Cybersecurity Act in Kraft, ENISA-Mandat dauerhaft
- EUCC erstes Schema, zertifizierbar seit Februar 2025
- 20.01.2026 Revisionsvorschlag der Kommission
- 18–24 Monate erwartete Dauer des Gesetzgebungsverfahrens
Was der Cybersecurity Act heute regelt
Die Verordnung von 2019 hat zwei Teile: die Agentur und der Zertifizierungsrahmen. Beides ist in Kraft, die Zertifizierung ist bislang freiwillig.
- ENISA
Dauerhaftes Mandat der EU-Agentur
Die ENISA unterstützt Mitgliedstaaten und Unternehmen, betreibt seit dem Cyber Resilience Act die zentrale Meldeplattform für Schwachstellen und erarbeitet die Kandidaten für Zertifizierungsschemata.
- Rahmen
Ein Zertifikat, das in der ganzen EU gilt
Schemata legen Sicherheitsanforderungen, Prüfmethoden und Vertrauensniveaus fest: niedrig, mittel, hoch. Ein Zertifikat aus einem Mitgliedstaat wird in allen anderen anerkannt.
- Freiwillig
Keine allgemeine Zertifizierungspflicht
Die Zertifizierung ist freiwillig, solange kein anderer Rechtsakt sie vorschreibt. Marktzugang, Ausschreibungen und Kundenanforderungen machen sie in der Praxis trotzdem relevant.
Welche Zertifizierungsschemata es gibt und welche kommen
Erst ein Schema ist in Kraft. Weitere sind in Arbeit, teils seit Jahren umstritten.
| Schema | Gegenstand | Stand |
|---|---|---|
| EUCC | IKT-Produkte auf Basis der Common Criteria, etwa Chips, Smartcards, Sicherheitshardware | Von der Kommission 2024 angenommen, Zertifizierung seit Februar 2025 möglich |
| EUCS | Cloud-Dienste in drei Vertrauensniveaus | In Erarbeitung; Streit um Souveränitätsanforderungen für das höchste Niveau |
| EU5G | Netzausrüstung und Betrieb von 5G-Netzen | In Erarbeitung, Wiederaufnahme angekündigt |
| EUDI-Wallet | Europäische digitale Identitäts-Brieftaschen | In Erarbeitung |
| EUMSS | Managed Security Services, etwa SOC- und Incident-Response-Dienstleister | In Erarbeitung, Rechtsgrundlage durch Änderungsverordnung geschaffen |
Bezug zum Cyber Resilience Act: Ein europäisches Zertifikat nach einem dieser Schemata kann die Konformität eines Produkts mit dem Cyber Resilience Act belegen. Für Hersteller lohnt sich deshalb der Blick auf beide Rechtsakte zusammen, siehe cra-beratung.de.
Was die Kommission ändern will
Am 20. Januar 2026 hat die Kommission ein Cybersicherheitspaket vorgelegt: einen Vorschlag für eine neue Cybersecurity-Act-Verordnung und eine begleitende Richtlinie mit Vereinfachungen, unter anderem für NIS2. Nichts davon ist beschlossen.
-
Verpflichtende Zertifizierung in bestimmten Bereichen
Der Vorschlag sieht vor, dass die Kommission Zertifikate für bestimmte Produkte oder Dienste verbindlich machen kann. Welche das sind, wird im Verfahren verhandelt.
-
Schnellere und einheitlichere Schemata
Die Erarbeitung neuer Schemata soll beschleunigt und stärker bei ENISA und Kommission gebündelt werden, damit Verfahren wie beim EUCS nicht mehr jahrelang stocken.
-
Lieferketten- und Vertrauenswürdigkeitskriterien
Diskutiert werden Kriterien für die Vertrauenswürdigkeit von Anbietern, insbesondere für kritische Bereiche. Das ist der politisch umstrittenste Teil des Pakets.
-
Vereinfachungen für NIS2
Die Begleitrichtlinie soll Doppelmeldungen und Überschneidungen zwischen NIS2, CRA und DORA verringern. Für das deutsche BSIG folgt daraus erst nach Umsetzung eine Änderung.
Zeitplan: Parlament und Rat verhandeln 2026 parallel zum Digital Omnibus. Mit einer Verabschiedung ist frühestens 2027 zu rechnen, mit Übergangsfristen danach. Wir pflegen den Stand auf dieser Seite nach.
Was Sie heute sinnvoll tun können
Auf unfertige Regeln baut man nicht. Auf das, was jedes Schema voraussetzt, schon.
-
Eigene Rolle klären
Stellen Sie Produkte mit digitalen Elementen her oder bieten Sie Cloud- oder Sicherheitsdienste an? Dann betreffen Sie die Schemata direkt. Setzen Sie solche Produkte nur ein, werden Zertifikate zum Einkaufskriterium.
-
Grundlagen schaffen, die jedes Schema verlangt
Ein gelebtes ISMS nach ISO 27001, sichere Entwicklungsprozesse, Schwachstellenmanagement und eine dokumentierte Lieferkette sind die Basis. Ohne sie ist keine Zertifizierung erreichbar.
-
Cyber Resilience Act zuerst
Die Produktpflichten des Cyber Resilience Act gelten ab 11. Dezember 2027 verbindlich, die Meldepflichten bereits seit 11. September 2026. Wer sie erfüllt, hat den Großteil der Vorarbeit für ein Zertifikat geleistet.
-
Entwicklung beobachten, nicht vorauseilen
Verfolgen Sie EUCS und EUMSS, wenn Sie Cloud- oder Sicherheitsdienste anbieten oder einkaufen. Vertragliche Anforderungen an Zertifikate sollten heute noch offen formuliert sein.
Einordnung statt Aufregung
Wir beraten zu Informationssicherheit und Compliance aus Eschborn bei Frankfurt. Bei Regulierung, die noch in Verhandlung ist, sagen wir Ihnen, was schon gilt, was wahrscheinlich kommt und was Sie getrost aussitzen können.
-
ISO 27001 als Fundament
Wir bauen ISMS auf, die später jedes Schema tragen. Der Zertifizierungsreife-Check zeigt, wo Sie stehen.
-
Cyber Resilience Act für Hersteller
Produktklassen, Konformitätsbewertung, Meldepflicht: das eigene Portal dazu liefert die Details.
-
NIS2 und BSIG
Für Betreiber und wichtige Einrichtungen gilt das BSIG seit Dezember 2025, unabhängig von der Revision.
Cybersecurity Act kurz beantwortet
Ist der Cybersecurity Act dasselbe wie der Cyber Resilience Act?
Nein. Der Cybersecurity Act (Verordnung (EU) 2019/881) regelt das Mandat der ENISA und den europäischen Rahmen für Cybersicherheitszertifizierung. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen zu Sicherheitsanforderungen und Meldepflichten. Beide greifen ineinander: Ein Zertifikat nach einem Schema des Cybersecurity Act kann die Konformität nach dem Cyber Resilience Act belegen.
Muss mein Unternehmen ein Produkt nach dem Cybersecurity Act zertifizieren lassen?
Grundsätzlich ist die Zertifizierung freiwillig. Verpflichtend wird sie nur dort, wo andere Rechtsakte oder Ausschreibungen ein europäisches Zertifikat verlangen. Der Revisionsvorschlag der Kommission sieht vor, dass Zertifikate in bestimmten Bereichen vorgeschrieben werden können; das ist noch nicht beschlossen.
Was ist das EUCC?
Das EUCC ist das erste Zertifizierungsschema unter dem Cybersecurity Act. Es basiert auf den Common Criteria und richtet sich an IKT-Produkte wie Chips, Smartcards oder Sicherheitshardware. Die Kommission hat es 2024 angenommen, seit Februar 2025 kann danach zertifiziert werden.
Wann kommt die Revision des Cybersecurity Act?
Die Kommission hat am 20. Januar 2026 ihren Vorschlag vorgelegt. Parlament und Rat verhandeln jetzt; realistisch dauert das Verfahren 18 bis 24 Monate. Bis zur Verabschiedung gilt die Verordnung von 2019 unverändert. Wir aktualisieren diese Seite, wenn es einen beschlossenen Text gibt.
Was hat die Revision mit NIS2 zu tun?
Das Paket der Kommission enthält neben der neuen Verordnung einen Richtlinienvorschlag mit Vereinfachungen für die NIS2-Umsetzung. Für Unternehmen, die heute unter das BSIG fallen, ändert sich damit vorerst nichts. Pflichten aus dem BSIG gelten seit dem 6. Dezember 2025.
Wie bereite ich mich sinnvoll vor, ohne auf unfertige Regeln zu bauen?
Mit dem, was ohnehin verlangt wird: ein funktionierendes ISMS, sichere Entwicklung und Schwachstellenmanagement für eigene Produkte, dokumentierte Lieferkette. Wer das hat, kann ein Zertifizierungsschema später mit überschaubarem Aufwand bedienen. Wir helfen, diese Grundlagen zu schaffen und die Entwicklung der Schemata zu verfolgen.
Marcel Rieger
Was bedeutet der Zertifizierungsrahmen für Ihr Unternehmen?
Im kostenlosen Erstgespräch ordnen wir ein, ob und wann Zertifizierungsschemata für Ihre Produkte oder Ihren Einkauf relevant werden, und welche Grundlagen Sie jetzt schaffen sollten.
- Einordnung Ihrer Rolle: Hersteller, Anbieter, Anwender
- Zusammenspiel mit Cyber Resilience Act und NIS2
- Sinnvolle nächste Schritte ohne Vorgriff auf unfertige Regeln
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen