Cybersecurity Act 2 EU-Kommission plant NIS-2-Update

Die EU-Kommission hat ein neues Cybersicherheitspaket vorgestellt, das eine Überarbeitung des Cybersecurity Acts und Änderungen an der NIS-2-Richtlinie beinhaltet. Diese Anpassungen könnten erhebliche Auswirkungen auf die Betroffenheit von Unternehmen haben.

Vor wenigen Tagen hat die EU-Kommission ein neues Cybersicherheitspaket vorgelegt. Neben einer Überarbeitung des Cybersecurity Acts (CSA) sind darin auch einige Änderungen an der NIS-2-Richtlinie vorgesehen. Diese ist in Deutschland erst seit dem 6. Dezember 2025 offiziell in Kraft. Sollten die Vorschläge wie von der Kommission geplant umgesetzt werden, hätte dies auch Auswirkungen auf die NIS-2-Betroffenheit von Unternehmen, da die neuen Regelungen die Compliance-Anforderungen und Zertifizierungsstandards erheblich erweitern würden.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Was ist der Cybersecurity Act?

Der Cybersecurity Act, hierzulande auch Europäischer Rechtsakt zur Cybersicherheit ge­nannt, trat am 27. Juni 2019 in Kraft. Kernelemente dieser Verordnung sind ein permanentes Mandat für die europäische Cybersicherheitsagentur European Union Agency for Cybersecurity, kurz ENISA, sowie die Einführung eines einheitlichen europäischen Zertifizierungsrahmens für IKT-Produkte, -Dienstleistungen und -Prozesse. Mit ihrem Vorschlag vom 20. Januar 2026, hat die EU-Kommission eine umfassende Reform des Cybersecurity Acts vorgestellt. Das Ziel ist es, die Cybersicherheitsresilienz und -kapazitäten der EU angesichts wachsender Cyber­be­dro­hun­gen weiter zu stärken. Das neue „Cybersecurity Package“ soll zum einen sicherstellen, dass Pro­dukte, die auf dem EU-Markt angeboten werden, durch ein vereinfachtes Zertifizierungs­ver­fahren von vornherein cybersicher sind, und zum anderen die Einhaltung bestehender EU-Cybersicherheitsvorschriften erleichtern und die ENISA stärken.

Cybersecurity Act

EU-Kommission will ENISA stärken

Für das Ziel sicherer digitaler Produkte hat bereits der Cyber Resilience Act (CRA), der am 10. Dezember 2024 in Kraft getreten ist. Der CRA baut auf der EU Cybersecurity Strategy von 2020 und der EU Security Union Strategy auf. Zudem ergänzt der CRA andere Rechts­vor­schriften in diesem Bereich, insbesondere die NIS-2-Richtlinie. Aus diesen Verkettungen wird bereits deutlich, wie eng verzahnt die verschiedenen EU-Regulierungen sind. Anpassungen des Cybersecurity Acts könnten also auch Auswirkungen auf andere Vor­gaben haben.

Update: NIS 2 tritt morgen in Kraft

Bundestag verabschiedet NIS 2

Kernelemente des Cybersecurity Act 2

Die Kernelemente des Vorschlags der EU-Kommission zum Cybersecurity Act 2, sind:

Stärkung der Cybersicherheitsresilienz

• Verbesserung der Kapazitäten der EU gegen Cyberangriffe

IKT-Lieferkettensicherheit

• Reduktion von Risiken durch Drittlandlieferanten mit Cybersicherheitsbedenken

• Einführung eines vertrauenswürdigen Sicherheitsrahmens basierend auf harmonisierten, risikobasierten Ansätzen

Zertifizierungsverfahren und -programme

• Einführung eines erneuerten europäischen Cybersicherheitszertifizierungsrahmens (ECCF) zur effizienteren Sicherheitsprüfung von Produkten und Dienstleistungen

• Standardisierte Entwicklung von Zertifizierungssystemen innerhalb von zwölf Monaten

• Die von der ENISA verwalteten Zertifizierungsprogramme sind freiwillig. Sie sollen es Unternehmen ermöglichen, die Einhaltung der EU-Gesetzgebung nachzuweisen und den Aufwand und die Kosten reduzieren.

• Einführung weitreichender Programme zur Stärkung der Cybersicherheitskompetenzen

Einhaltung von Vorschriften

• Vereinfachung der Einhaltung von EU-Cybersicherheitsvorschriften für Unternehmen

• Einführung einer neuen Kategorie kleiner Unternehmen zur Senkung der Compliance-Kosten

• Anpassung der Zuständigkeitsregeln und Optimierung der Datenerfassung zu Ransomware-Angriffen

Stärkung der ENISA

• Unterstützung der EU und Mitgliedstaaten bei der Identifikation und Reaktion auf Cyberbedrohungen

• Bereitstellung von Frühwarnungen und Unterstützung nach Ransomware-Angriffen

• Förderung der Entwicklung von qualifizierten Cybersicherheitsexperten in Europa

Cyber-Abwehr und -Krisenhilfe für Unternehmen

Die EU als „neuer Sheriff in Town”

Auswirkungen auf NIS 2

Die vorgeschlagenen Änderungen, die sich durch das neue Cybersicherheitspaket für die NIS-2-Richtlinie ergeben würden, zielen darauf ab, die Rechtssicherheit zu erhöhen und die Ein­hal­tung der Vorschriften zu erleichtern. Von dieser Verbesserung wären insgesamt 28.700 Un­ter­nehmen, darunter 6.200 Kleinst- und Kleinunternehmen betroffen. Zudem soll damit eine neue Kategorie kleiner und mittelständischer Unternehmen eingeführt werden, um die Com­pliance-Kosten für etwa 22.500 Unternehmen zu senken. Die Änderungen würden zudem eine Ver­ein­fachung der Zuständigkeitsregeln mit sich bringen und die Datenerfassung zu Ran­somware-Angriffen optimieren, was eine präzisere Analyse und Reaktion ermöglichen würde. Darüber hinaus soll die Aufsicht über grenzüberschreitend tätige Unternehmen durch die gestärkte Koordinierungsrolle der ENISA erleichtert werden. Das bedeutet, dass Un­ter­nehmen besser unterstützt würden und ihre Cybersicherheitsstrategien im Idealfall effektiver umsetzen könnten.

Sollte der neue Cybersecurity Act vom Europäischen Parlament und dem EU-Rat angenommen werden, würde er unmittelbar in Kraft treten. Und somit auch die Änderungen an NIS 2. Nach der Annahme hätten die EU-Mitgliedsstaaten ein Jahr Zeit, die neue Richtlinie in nationales Recht umzusetzen und die entsprechenden Texte an die EU-Kommission zu übermitteln.

Der Bitkom hat sich zu der geplanten Revision des Cybersecurity Act geäußert. Zusammenfassend lässt sich sagen, dass der Digitalverband folgende Vorteile und Schwächsen sieht:

Einen wichtigen Aspekt bringt auch der Eco-Verband der Internetwirtschaft ein: „Positiv zu be­werten ist, dass die Kommission die zuständige EU-Agentur für Cybersicherheit ENISA stärkt. Allerdings bleibt abzuwarten, ob dies am Ende tatsächlich zu mehr Agilität und Stake­holder­nä­he führt, oder nur wieder zu mehr Bürokratie. Auch die angestrebte Beschleunigung der Zer­ti­fi­zierung bewerten wir positiv. Wichtig ist, dass die Zer­ti­fi­zierung weiter international etablierte Standards wiederspiegelt und den Mitgliedsstaaten aufgrund ihrer unterschiedlichen Aus­gangs­la­ge ausreichend Zeit für die Umsetzung der neuen Regeln eingeräumt wird. Getätigte Investitionen dürfen nicht durch neue Regulierung obsolet werden.“

Security-Learning: Der Vorschlag der EU-Kommission für den Cybersecurity Act 2 und die Än­derungen an der NIS-2-Richtlinie zeigen Fortschritte in der Cybersicherheitsstrategie Eu­ro­pas. Die Einführung eines erneuerten Zertifizierungsrahmens und die Stärkung der ENISA klingen vielversprechend und könnten Unternehmen helfen, sich besser gegen Cyber­be­drohungen zu wappnen. Jedoch könnte die zusätzliche Belastung durch steigende Zertifizierungs­an­for­der­ungen und verschärfte Aufsicht insbesondere für kleine und mittelständische Unternehmen herausfordernd sein. Während die Änderungen erst einmal positiv klingen, bleibt abzuwarten, wie sie in der Praxis umgesetzt werden und welche konkreten Auswirkungen sie auf die Un­ter­nehmen haben.

Keine Zeit verlieren bei Umsetzung der NIS2-Richtlinie

8 Maßnahmen für die NIS-2-Konformität

(ID:50686297)