Cyber Solidarity Act

Verordnung (EU) 2025/38
Titel:	Verordnung (EU) 2025/38 des Europäischen Parlaments und des Rates vom 19. Dezember 2024 über Maßnahmen zur Stärkung der Solidarität und der Kapazitäten in der Union für die Erkennung von, Vorsorge für und Bewältigung von Cyberbedrohungen und Sicherheitsvorfällen und zur Änderung der Verordnung (EU) 2021/694
Kurztitel:	Cyber Solidarity Act
Geltungsbereich:	EWR
Rechtsmaterie:	Binnenmarkt, Cybersicherheit
Grundlage:	AEUV, insbesondere Art. 173 Abs 3 und Art. 322 Abs 1 lit a
Anzuwenden ab:	4. Februar 2025
Fundstelle:	ABl L 2025/38, 1
Volltext	Konsolidierte Fassung (nicht amtlich) Grundfassung
Regelung ist in Kraft getreten, aber noch nicht anwendbar.
Hinweis zur geltenden Fassung von Rechtsakten der Europäischen Union

Einführung

Die Verordnung (EU) 2025/38 (Cyber Solidarity Act) ist eine Vorstoß der EU um bedeutende und groß angelegte Bedrohungen und Angriffe im Bereich der Cybersicherheit zu erkennen, sich darauf vorzubereiten und darauf zu reagieren. Der Rechtsakt umfasst ein europäisches Warnsystem für Cybersicherheit, das aus EU-weit miteinander verbundenen Sicherheitsoperationszentren besteht, sowie einen umfassenden Mechanismus für Cybersicherheitsnotfälle, um die Widerstandsfähigkeit der EU im Cyberbereich zu verbessern.

Anwendungsbereich

Der Cyber Solidarity Act verweist auf Art. 6 Abs. 38 NIS II-Richtlinie (Art. 2 Abs 4. CSA) sowie Tätigkeiten der Einrichtung in den Anhang I oder II der NIS2-RL, welche als kritisch bzw. hochkritische Sektoren bereichnet werden. (Art. 2 Abs 5. CSA)

Ein allegemeiner Verweis auf Art 3 NIS II-RL ist nich vorhanden, weshalb gerade der größenunabhängige Anwendungsbereich der NIS2 II-RL im Grundbegriff nciht erfasst ist. Im Hinblick auf die Inanspruchnahme von Unterstützung aus der EU-Cybersicherheitsreserve sind Entitäten in Art. 14 Abs. 2 CSA aber doch wieder erwähnt. Systematisch wird damit der rechtspolitisch fragwürdige Eindruck erweckt, dass die Stellen des Art. 3 NIS-II-RL nur in diesem engen Rahmen vom CSA erfasst sind und z.B. nicht am Cybersecurity Shield teilnehmen sollen.

Europäischer Cybersicherheitsschild

Das European Cyber Shield besteht aus einer pan-europäischen Infrastruktur von Nationalen Sicherheitsoperationszentren (National SOCs) und Grenzüberschreitenden Sicherheitsoperationszentren (Cross-border SOCs). Die SOCs sind miteinander vernetzt und bilden eine EU-weite Infrastruktur zur Cybersicherheit.

Funktionsweise Das European Cyber Shield operiert folgendermaße: (Art 3 CSA)

1. Erkennung von Cyberbedrohungen und -vorfällen durch die vernetzten SOCs
2. Analyse der gesammelten Daten mithilfe von KI und Datenanalyse
3. Ausgabe von grenzüberschreitenden Warnungen bei identifizierten Bedrohungen
4. Ermöglichung einer schnelleren und effizienteren Reaktion auf größere Cybervorfälle durch Behörden und relevante Einrichtungen

Verpflichtungen zur Bereitstellung von Daten durch Entitäts oder zur Regelungen des Verhältnisses zu den Bestimmungen der DSGVO sind nicht erkennbar.

Prüfung kritischer Einrichtungen auf potenzielle Schwachstellen

Die koordinierten Bereitschaftstests dienen dazu, potenzielle Schwachstellen in kritischen Infrastrukturen zu identifizieren, die diese anfällig für Cyberbedrohungen machen könnten. Die Tests werden koordiniert durchgeführt, um die Cybersicherheitsbereitschaft der ausgewählten Einrichtungen zu überprüfen. Dabei werden gemäß Art. 2 Abs 9. iVm Art 11 CSA Potenzielle Schwachstellen identifiziert, Die Reaktionsfähigkeit auf Cyberbedrohungen getestet, Verbesserungspotenziale geprüft. Nachdem keine Mitwirkungspflichten der Eintäten normiert sind, dürfte die Mitwirkung an den Prüfungen seintens der geprüften Entitäten freiwillig sein.

Synergien

Risikomanagement in der Cybersicherheit

• CSA: Stärkt die Fähigkeit der EU, auf große Cyberangriffe zu reagieren, indem es ein Netzwerk von nationalen und grenzüberschreitenden Sicherheitsoperationszentren (SOC) fördert und die Zusammenarbeit bei Cyberkrisen stärkt. Über das vorgesehene Netzwerks von SOCs, sollten Bedrohungsdaten in Echtzeit ausgetauscht werden.
• NIS II-RL: Verlangt von Organisationen aus kritischen Sektoren, robuste Cybersicherheitsmaßnahmen einzuführen, um die Resilienz gegenüber Cyberbedrohungen zu erhöhen.

Synergie Die verstärkte Sicherheitsinfrastruktur (z. B. durch SOCs) unterstützt Unternehmen und öffentliche Einrichtungen dabei, die unter NIS-II RL geforderten Standards besser einzuhalten, insbesondere durch frühzeitige Erkennung von Bedrohungen und Informationsaustausch.

Konsequenzen/Strafen

Der CSA enthält keine Sanktionsmechanismen.