Cybersicherheitsverordnung: Stärkung der ENISA und Zertifizierungsrahmen

Die EU-Cybersicherheitsverordnung erteilt der ENISA ein dauerhaftes Mandat und stellt ihr mehr Ressourcen zur Verfügung, wodurch sie von einer vorübergehend eingerichteten Agentur zur zentralen Anlaufstelle der Union für Cybersicherheit wird. Außerdem schafft sie einen europaweiten Zertifizierungsrahmen für IKT-Produkte, -Dienste und -Prozesse. Anders als NIS2, das sich auf die Meldung von Sicherheitsvorfällen und das Risikomanagement in kritischen Sektoren konzentriert, geht es bei dieser Verordnung um die Festlegung gemeinsamer Sicherheitsstandards, damit beispielsweise einem zertifizierten Cloud-Dienst in allen Mitgliedstaaten ohne zusätzliche nationale Prüfungen vertraut werden kann.

Ein häufiger Prüfungstrick besteht darin, die Zertifizierungssysteme der Verordnung mit den Verpflichtungen aus NIS2 zu vermischen. Merken Sie sich: Werden in der Frage „Vertrauenswürdigkeitsstufen“ (niedrig, mittel, hoch) oder „europäische Systeme für die Cybersicherheitszertifizierung“ erwähnt, ist die Cybersicherheitsverordnung gemeint. Geht es um „Fristen für die Meldung von Sicherheitsvorfällen“ oder die „Sicherheit der Lieferkette für wesentliche Einrichtungen“, handelt es sich um NIS2. Ein weiterer Hinweis: Die Verordnung selbst verhängt keine unmittelbaren Sanktionen gegen Unternehmen; diese ergeben sich aus nationalen Rechtsvorschriften zur Umsetzung der Zertifizierungssysteme.

Um sich diesen Punkt einzuprägen, stellen Sie sich die Verordnung als Regelwerk für ein EU-weites „Cybersicherheitsgütesiegel“ vor. Wenn Sie eine Frage zur dauerhaften Rolle der ENISA oder zu Zertifizierungsstufen sehen, bringen Sie sie sofort mit dieser Verordnung und nicht mit NIS2 in Verbindung. Ein schneller gedanklicher Test: „Geht es um ein Zertifikat für ein Produkt oder eine Dienstleistung?“ Wenn ja, handelt es sich um die Cybersicherheitsverordnung.