Cyber Security Act (CSA)

Änderung durch

Verordnung (EU) 2025/37
Titel:	Verordnung (EU) 2025/37 des Europäischen Parlaments und des Rates vom 19. Dezember 2024 zur Änderung der Verordnung (EU) 2019/881 im Hinblick auf verwaltete Sicherheitsdienste
Kurztitel:	Cyber Security Act/Rechtsakt zur Cybersicherheit
Bezeichnung: (nicht amtlich)	CSA
Geltungsbereich:	EWR
Rechtsmaterie:	Binnenmarkt, Cybersicherheit
Grundlage:	AEUV, insbesondere Art. 114
Anzuwenden ab:	4. Februar 2025
Fundstelle:	ABl L 2025/37, 1
Volltext	Konsolidierte Fassung (nicht amtlich) Grundfassung
Regelung ist in Kraft getreten und anwendbar.
Hinweis zur geltenden Fassung von Rechtsakten der Europäischen Union

Ursprungsrechtsakt

Verordnung (EU) 2019/881
Titel:	Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates vom 17. April 2019 über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik und zur Aufhebung der Verordnung (EU) Nr. 526/2013
Kurztitel:	Cyber Security Act/Rechtsakt zur Cybersicherheit
Bezeichnung: (nicht amtlich)	CSA
Geltungsbereich:	EWR
Rechtsmaterie:	Binnenmarkt, Cybersicherheit
Grundlage:	AEUV, insbesondere Art. 114
Anzuwenden ab:	27. Juni 2019
Fundstelle:	ABl L 2019/151, 15
Volltext	Konsolidierte Fassung (nicht amtlich) Grundfassung
Regelung ist in Kraft getreten und anwendbar.
Hinweis zur geltenden Fassung von Rechtsakten der Europäischen Union

Einführung

Die Verordnung (EU) 2019/881 (Cybersecurity Act bzw. CSA), die im Juni 2019 in Kraft trat, verfolgte zwei Hauptziele: Zum einen stärkte es die Position der EU-Agentur für Cybersicherheit (ENISA), indem es ihr ein dauerhaftes Mandat erteilte und ihre Aufgaben sowie Ressourcen erweiterte. Zum anderen führte es einen EU-weiten Zertifizierungsrahmen für Cybersicherheit ein, der einheitliche Standards für IKT-Produkte, -Dienste und -Prozesse in der gesamten EU etablieren sollte.

Die Novelle 2025 zum Cyber Security Act, die am 4. Februar 2025 in Kraft tritt, baut auf der ursprünglichen Verordnung auf und führt mehrere Neuerungen ein.

Zentrale Inhalte

Rolle und Kompetenzen der Europäischen Agentur für Netz- und Informationssicherheit (ENISA): (Artikel 4-45 CSA):

• Die ENISA erhält ein dauerhaftes Mandat als Kompetenzzentrum für Cybersicherheit in der EU.
• Ihre Aufgaben umfassen nun Beratung, Unterstützung und Förderung der EU-Politik im Bereich Cybersicherheit.
• Sie soll Stellungnahmen abgeben, Leitlinien herausgeben und zu Themen wie Risikomanagement und Meldung von Sicherheitsvorfällen beraten
• Entwicklung und Verwaltung des europäischen Rahmens für die Cybersicherheitszertifizierung von IKT-Produkten, -Diensten und -Prozessen

Einführung eines EU-weiten Zertifizierungssystems (Artikel 46-65 CSA)

Der zweite Kernbereich ist die Schaffung eines einheitlichen Zertifizierungsrahmens für Cybersicherheit:

• Es wird ein EU-weites Zertifizierungssystem für Produkte, Dienstleistungen und Prozesse der Informations- und Kommunikationstechnologie eingeführt.
• Die ENISA ist für den Aufbau und die Pflege dieses Zertifizierungsrahmens zuständig.
• Das System legt einheitliche Anforderungen und Bewertungskriterien für Cybersicherheit in der gesamten EU fest.
• Zertifikate bescheinigen die Erfüllung bestimmter Sicherheitsanforderungen und stufen die Vertrauenswürdigkeit als "niedrig", "mittel" oder "hoch" ein.

Cybersecurity-Zertifizierungsschema für ICT-Produkte der Europäischen Union (EU CC-Schema)

Die Europäische Kommission hat im Jänner 2024 die Durchführungsverordnung für das EU-Zertifizierungssystem für Cybersicherheit nach Common Criteria (EUCC) angenommen, welcher auf dem SO-GIS Schema basiert. Das EUCC-System basiert auf Freiwilligkeit und ermöglicht es IKT-Anbietern, die einen Zuverlässigkeitsnachweis erbringen wollen, ein EU-weit einheitliches Bewertungsverfahren zu durchlaufen, um IKT-Produkte wie technologische Komponenten (Chips, Smartcards), Hardware und Software zu zertifizieren. Es schlägt zwei Sicherheitsstufen vor, die sich nach dem Risiko richten, das mit der beabsichtigten Verwendung des Produkts, der Dienstleistung oder des Prozesses verbunden ist, und zwar in Bezug auf die Wahrscheinlichkeit und die Auswirkungen eines Unfalls. Das EUCC ist damit das erste europäische Zertifizierungsschema und wird am 27. Februar 2025 in Geltung treten.

Die ENISA arbeitet derzeit an zwei weiteren Zertifizierungssystemen für Cybersicherheit, EUCS für Cloud-Dienste und EU5G für 5G-Sicherheit. Insbesondere der Entwurf für das EUCS-Schema (Cloud-Dienste) ist Gegenstand intensiver politischer Debatten, insbesondere im Hinblick auf die sogenannten Souveränitätsanforderungen, die festlegen sollen, inwieweit nicht-europäische Unternehmen die höchsten Sicherheitsstufen der Zertifizierung erreichen dürfen.

Novelle 2025: Cybersicherheitszertifizierung für "Verwaltete Sicherheitsdienste"

Die Verordnung (EU) 2025/37 führt eine Begriffsbestimmung für „verwaltete Sicherheitsdienste“ ein, die an die Begriffsbestimmung für „Anbieter verwalteter Sicherheitsdienste“ in der NIS-2-Richtlinie angelehnt ist. Verwaltete Sicherheitsdienste sind Dienste, die in der Durchführung oder Unterstützung von Tätigkeiten im Zusammenhang mit dem Cybersicherheitsrisikomanagement ihrer Kund*innen bestehen (Art. 1 Abs. 2 CSA-N). Außerdem wurde ein neuer Artikel 51a über die Sicherheitsziele der europäischen Systeme für die Cybersicherheitszertifizierung eingefügt, die auf verwaltete Sicherheitsdienste abgestimmt sind. Diese Rechtsgrundlage ermöglicht es nun der EU-Kommission, ein spezifisches europäisches Zertifizierungsschema für verwaltete Sicherheitsdienste mittels eines Durchführungsrechtsakts zu entwickeln und anzunehmen.

Strafen/sonstige Konsequenzen

Der Cyber Security Act selbst sieht keine direkten EU-Bußgelder vor, da er primär einen freiwilligen Zertifizierungsrahmen schafft. Die Konsequenzen bei Verstößen sind wie folgt geregelt:

• Nationale Sanktionen: Art. 65 CSA verpflichtet die Mitgliedstaaten, „wirksame, verhältnismäßige und abschreckende“ Sanktionen für Verstöße gegen die nationalen Umsetzungsbestimmungen der EU-Cybersicherheitszertifizierungsschemata zu erlassen.
• Verlust der Zertifizierung: Die primäre Konsequenz bei Nichteinhaltung der Zertifizierungsanforderungen ist der Entzug oder die Aussetzung des Cybersicherheitszertifikats. Dies kann insbesondere dann erhebliche Marktauswirkungen haben, wenn das Zertifikat für die Teilnahme an öffentlichen Ausschreibungen oder die Erfüllung von CRA- oder NIS2-Anforderungen erforderlich ist.

Synergien

CSA

• Der CSA zielt darauf ab, einheitliche Rahmenbedingungen für die Cybersicherheitszertifizierung in der EU zu schaffen, indem er freiwillige Zertifizierungsschemata etabliert. Diese dienen dazu, das Vertrauen in digitale Produkte, Dienstleistungen und Prozesse zu stärken. Die EU-Agentur für Cybersicherheit (ENISA) spielt eine zentrale Rolle bei der Entwicklung dieser Schemata.

CRA

• Der CRA legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, um ein Mindestmaß an Sicherheit in der gesamten EU zu gewährleisten. Bestimmte Produkte müssen einer verpflichtenden Zertifizierung unterzogen werden.

Vorliegende CSA-Zertifizierungsschemata können in bestimmten Bereichen verwendet werden, um die Einhaltung Anforderungen des CRA zu belegen.

NIS2-Richtlinie

Die enge Verzahnung des CSA mit der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) wird durch die Novelle 2025 (Verordnung (EU) 2025/37) verstärkt:

• Begriffsdefinition: Die Novelle verwendet zur Definition von „Verwalteten Sicherheitsdiensten“ eine Formulierung, die an die Definition der „Anbieter verwalteter Sicherheitsdienste“ in Art. 6 Nr. 40 der NIS2-Richtlinie angelehnt ist. Dies sorgt für Kohärenz in der EU-Gesetzgebung.
• Compliance-Erleichterung: Für Unternehmen, die unter die NIS2-Richtlinie fallen und als wesentliche oder wichtige Einrichtungen gelten, können Zertifikate, die auf den zukünftigen CSA-Schemata für verwaltete Sicherheitsdienste basieren, ein wichtiges Instrument sein, um die Einhaltung ihrer Cybersicherheitsanforderungen nachzuweisen.