Cybersicherheit und Resilienz kritischer Infrastrukturen in der EU

Cybersicherheit berührt die Bereiche Binnenmarkt, Sicherheit und nationale Sicherheit. Viele EU-Rechtsvorschriften stützen sich auf Artikel 114 AEUV, weil voneinander abweichende nationale Anforderungen den Binnenmarkt fragmentieren können. Artikel 16 bildet die Grundlage für Datenschutzvorschriften, Artikel 196 für die Zusammenarbeit im Katastrophenschutz, und Artikel 222 enthält die Solidaritätsklausel für Katastrophen und Terroranschläge. Nach Artikel 4(2) EUV fällt die nationale Sicherheit weiterhin in die alleinige Verantwortung der einzelnen Mitgliedstaaten. Das EU-Cyberrecht erhöht daher die gemeinsame zivile Resilienz, ohne einen EU-Nachrichtendienst zu schaffen oder die gesamte Einsatzleitung bei Sicherheitsvorfällen nach Brüssel zu übertragen.

Das Arbeitsmodell umfasst vier Phasen: Risiken vor einem Sicherheitsvorfall verringern, relevante Informationen erkennen und austauschen, die Reaktion koordinieren, wenn Auswirkungen grenzüberschreitend sind, und Dienste wiederherstellen. Die Mitgliedstaaten benennen zuständige Behörden, zentrale Anlaufstellen und Computer-Notfallteams. Die Kommission überwacht das EU-Recht und kann die vorgesehenen Durchführungsrechtsakte erlassen. ENISA – die Agentur der Europäischen Union für Cybersicherheit – unterstützt mit Fachwissen, Übungen, Schwachstellenkoordinierung und Zusammenarbeit. EU-CyCLONe vernetzt die nationalen Krisenmanagementbehörden bei Großvorfällen; das CSIRTs-Netzwerk unterstützt die technische operative Zusammenarbeit.

Die als NIS2 bekannte Richtlinie (EU) 2022/2555 zielt darauf ab, unionsweit ein hohes gemeinsames Cybersicherheitsniveau zu gewährleisten. Sie erweitert die erfassten Sektoren und unterteilt die erfassten Organisationen in wesentliche und wichtige Einrichtungen. Die Einstufung wirkt sich auf die Aufsichtsregelung aus, nicht auf die grundsätzliche Pflicht zum Risikomanagement. Zu den Sektoren gehören Energie, Verkehr, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung, Trinkwasser, Abwasser, Postdienste, die Herstellung bestimmter kritischer Produkte und digitale Anbieter. Größenschwellen sowie spezifische Einbeziehungen oder Ausnahmen sind maßgeblich; nicht jede kleine Organisation fällt automatisch in den Anwendungsbereich.

Die Einrichtungen müssen verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen. Die Richtlinie nennt die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs, die Sicherheit der Lieferkette, die Behandlung von Schwachstellen, gegebenenfalls Verschlüsselung, Zugangskontrolle, Anlagenmanagement und die Sensibilisierung des Personals. Leitungsorgane genehmigen und überwachen die Maßnahmen und können nach dem nationalen Umsetzungsrecht zur Verantwortung gezogen werden. Für erhebliche Sicherheitsvorfälle gilt ein gestuftes Meldeverfahren: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung des Sicherheitsvorfalls innerhalb von 72 Stunden und ein Abschlussbericht normalerweise innerhalb eines Monats. Prüfungsteilnehmende sollten diese Fristen nicht zu einer einzigen Frist zusammenfassen.

NIS2 ist eine Richtlinie. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und die nationalen Maßnahmen ab dem 18. Oktober 2024 anwenden. Rechte und Pflichten werden hauptsächlich durch nationales Recht durchgesetzt. Eine unvollständige Umsetzung macht aus der Richtlinie keine Verordnung; sie stellt ein Umsetzungsproblem dar, für das unionsrechtliche Rechtsbehelfe und gegebenenfalls ein Vertragsverletzungsverfahren vorgesehen sind.

Die Verordnung (EU) 2024/2847 – das Cyberresilienzgesetz oder CRA – verfolgt einen produktmarktbezogenen Ansatz. Sie erfasst Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden, vorbehaltlich festgelegter Ausnahmen und des Zusammenspiels mit sektorspezifischem Recht. Hersteller müssen sichere Produkte konzipieren und herstellen, Cyberrisiken bewerten, Schwachstellen behandeln und während des Unterstützungszeitraums Sicherheitsaktualisierungen bereitstellen. Importeure und Händler haben Prüfpflichten. Konformitätsbewertung und CE-Kennzeichnung verknüpfen die Cyberanforderungen mit der üblichen Produktüberwachung im Binnenmarkt.

Das Inkrafttreten ist nicht mit der vollständigen Anwendung gleichzusetzen. Der CRA trat am 10. Dezember 2024 in Kraft. Die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen galten ab dem 11. Juni 2026. Die Meldepflichten nach Artikel 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten ab dem 11. September 2026. Die meisten Pflichten gelten ab dem 11. Dezember 2027. Zum Aktualisierungsdatum dieses Briefings standen die Meldepflichten für September unmittelbar bevor, galten jedoch noch nicht.

Die Richtlinie (EU) 2022/2557, die Richtlinie über die Resilienz kritischer Einrichtungen oder CER-Richtlinie, betrifft die Fähigkeit identifizierter Einrichtungen, Sicherheitsvorfälle zu verhindern, sich davor zu schützen, darauf zu reagieren, ihnen standzuhalten, sie abzumildern, aufzufangen, zu bewältigen und sich davon zu erholen. Ihr gefahrenübergreifender Ansatz umfasst Naturgefahren, Unfälle, Notlagen im Bereich der öffentlichen Gesundheit, Sabotage und Terrorismus. Die Mitgliedstaaten führen Risikobewertungen durch, verabschieden Strategien und identifizieren kritische Einrichtungen in den aufgeführten Sektoren. Die identifizierten Einrichtungen bewerten anschließend Risiken, ergreifen verhältnismäßige Maßnahmen und melden störende Sicherheitsvorfälle.

CER und NIS2 wurden so konzipiert, dass sie ineinandergreifen. CER konzentriert sich hauptsächlich auf nicht cyberbezogene Resilienz; NIS2 konzentriert sich auf Netz- und Informationssysteme. Die nationalen Behörden müssen zusammenarbeiten und relevante Informationen austauschen. Die Richtlinien bedeuten nicht, dass für jede Einrichtung in einem aufgeführten Sektor identische Pflichten gelten. Die Identifizierung, Größenvorschriften, sektorspezifischen Bestimmungen und die nationale Umsetzung bestimmen den Anwendungsbereich.

Die Verordnung (EU) 2025/38, das Gesetz über Cybersolidarität, gilt seit dem 4. Februar 2025. Sie richtet ein europäisches Cybersicherheitswarnsystem, Vorsorgemaßnahmen und eine EU-Cybersicherheitsreserve aus vertrauenswürdigen Anbietern von Diensten für die Reaktion auf Sicherheitsvorfälle ein. Sie unterstützt außerdem die Überprüfung erheblicher oder groß angelegter Sicherheitsvorfälle. Die Reserve ergänzt die nationalen Kapazitäten, anstatt sie zu ersetzen. Für Anträge, Förderfähigkeit, Auftragsvergabe und Vertraulichkeit gelten die Verordnung und ihre Durchführungsbestimmungen.

Bei der Krisenterminologie ist Präzision erforderlich. Ein erheblicher Sicherheitsvorfall im Sinne von NIS2 betrifft eine schwerwiegende Betriebsstörung oder Verluste beziehungsweise Schäden für eine Einrichtung oder andere. Ein Großvorfall übersteigt die Kapazitäten eines Mitgliedstaats oder beeinträchtigt mindestens zwei Mitgliedstaaten erheblich. Für die politische Koordinierung können auch die Integrierten Regelungen des Rates für die politische Reaktion auf Krisen genutzt werden. Das 2019-Instrumentarium der EU für die Cyberdiplomatie kann außenpolitische Reaktionen einschließlich restriktiver Maßnahmen unterstützen; Zurechnung und Sanktionen sind jedoch politische und rechtliche Entscheidungen und keine technischen Feststellungen von ENISA.

Am 20. Januar 2026 schlug die Kommission eine Überarbeitung des Rechtsakts zur Cybersicherheit von 2019 vor. Der Vorschlag zielt darauf ab, die EU-Zertifizierung zu straffen, Sicherheitsrisiken in Lieferketten der Informations- und Kommunikationstechnologie anzugehen und ENISA zu stärken. Am 17. August 2026 wurde er weiterhin von Parlament und Rat geprüft. Die bestehende Verordnung (EU) 2019/881 blieb der geltende Rechtsakt zur Cybersicherheit, solange und bis sie geändert wird.

Am 7. Juli 2026 stellte die Kommission einen Aktionsplan zu fortgeschrittener künstlicher Intelligenz und Cybersicherheit vor. Er umfasst die Bewertung von Modellen, den strukturierten Zugang von Verteidigern zu fortgeschrittenen Modellen, sichere Tests mit ENISA und der Gemeinsamen Forschungsstelle, eine schnellere Behebung von Schwachstellen und stärkere europäische KI-Kapazitäten. Der Aktionsplan baut auf geltendem Recht auf; er ist selbst keine neue Verordnung. Unabhängig davon wurden die Umsetzungsarbeiten an der CRA-Meldeplattform, der Cybersicherheitsreserve und den nationalen NIS2-Rahmen fortgesetzt.

Fragen Sie, was geschützt werden soll. Bei einem erfassten Diensteanbieter beginnen Sie mit NIS2. Bei vernetzter Hardware oder Software, die auf dem Markt bereitgestellt wird, beginnen Sie mit dem CRA. Bei der physischen und gefahrenübergreifenden Resilienz einer identifizierten kritischen Einrichtung beginnen Sie mit CER. Bei grenzüberschreitender Erkennung und Notfallunterstützung berücksichtigen Sie das Gesetz über Cybersolidarität. Bestimmen Sie anschließend, ob der verantwortliche Akteur ein Hersteller, eine regulierte Einrichtung, eine Behörde eines Mitgliedstaats, ein CSIRT, ENISA, die Kommission oder einer der beiden gesetzgebenden Organe ist. Prüfen Sie abschließend, ob die Vorschrift am maßgeblichen Datum vorgeschlagen worden, in Kraft oder bereits anwendbar war.