Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates vom 17. April 2019 über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnik und zur Aufhebung der Verordnung (EU) Nr. 526/2013 (Rechtsakt zur Cybersicherheit) (Text von Bedeutung für den EWR)
Metadata
Zusätzliche Angaben
Zusätzliche Angaben
Versionsverlauf
Beziehungen zu anderen Dokumenten
• Verordnung (EU) Nr. 526/2013 v. 21. Mai 2013: Sie regelte zuvor die ENISA und wurde durch die Verordnung (EU) 2019/881 aufgehoben; die neue Verordnung ordnet die Agentur dauerhaft neu und erweitert ihr Mandat deutlich. • Richtlinie (EU) 2016/1148 v. 6. Juli 2016: Sie bildet den zentralen Bezugsrahmen für Sicherheitsanforderungen, nationale Strategien, CSIRTs, Kooperationsgruppe sowie Betreiber wesentlicher Dienste und Anbieter digitaler Dienste, an deren Umsetzung die ENISA mitwirkt. • Verordnung (EG) Nr. 765/2008 v. 9. Juli 2008: Sie ist maßgeblich für Akkreditierung und Marktüberwachung und wird von der Verordnung für die Akkreditierung von Konformitätsbewertungsstellen und Begriffsbestimmungen der Konformitätsbewertung aufgegriffen. • Verordnung (EU) 2016/679 v. 27. April 2016: Sie bleibt für Zertifizierungen von Datenverarbeitungsvorgängen eigenständig maßgeblich; die Cybersicherheitsverordnung lässt entsprechende Datenschutz-Zertifizierungen unberührt. • Richtlinie (EU) 2018/1972 v. 11. Dezember 2018: Sie wird als unionsrechtlicher Bezugspunkt für Sicherheitsfragen in der elektronischen Kommunikation genannt und ist Teil des weiteren Rechtsrahmens, dessen Umsetzung die ENISA fachlich unterstützt.
Text
Anwendungsbereich
Die Verordnung (EU) 2019/881 ist eine unmittelbar in allen Mitgliedstaaten geltende Verordnung auf Grundlage von Artikel 114 AEUV und dient der Harmonisierung des Binnenmarkts im Bereich der Cybersicherheit. Sie hat eine doppelte Rechtswirkung: Zum einen ordnet sie die ENISA als dauerhafte EU-Agentur mit eigenem Mandat neu, zum anderen schafft sie einen unionsweiten Rahmen für europäische Cybersicherheitszertifizierungsschemata für IKT-Produkte, -Dienste und -Prozesse. Inhaltlich regelt sie die Aufgaben, Ziele und Organisation der ENISA, die Zuständigkeiten nationaler Zertifizierungsbehörden und Konformitätsbewertungsstellen sowie das Verfahren zur Entwicklung, Annahme und Anwendung europäischer Zertifizierungsschemata. Zugleich hebt sie die Verordnung (EU) Nr. 526/2013 auf und ersetzt nationale Zertifizierungslösungen, soweit ein europäisches Schema denselben Gegenstand erfasst. • Der Anwendungsbereich erfasst die ENISA, die Kommission, die Mitgliedstaaten, nationale Behörden für die Cybersicherheitszertifizierung, nationale Akkreditierungsstellen, Konformitätsbewertungsstellen, Hersteller und Anbieter von IKT-Produkten, -Diensten und -Prozessen sowie mittelbar Endnutzer, Betreiber wesentlicher Dienste und Anbieter digitaler Dienste. Für diese Akteure regelt die Verordnung sowohl institutionelle Aufgaben als auch Anforderungen an Zertifizierung, Selbstbewertung der Konformität, Überwachung, Beschwerdeverfahren und Informationspflichten. Ausgenommen bleiben die Zuständigkeiten der Mitgliedstaaten für öffentliche Sicherheit, Landesverteidigung, nationale Sicherheit und staatliches Handeln im strafrechtlichen Bereich. Zudem bleibt die Verordnung unbeschadet spezieller unionsrechtlicher Zertifizierungsregelungen, etwa für Datenverarbeitungsvorgänge nach der Datenschutz-Grundverordnung. • In der Praxis bedeutet dies, dass Cybersicherheit im Binnenmarkt nicht mehr nur über nationale Einzelansätze, sondern über ein unionsweit strukturiertes Zertifizierungs- und Aufsichtssystem organisiert wird. Hersteller und Anbieter können für IKT-Produkte, -Dienste und -Prozesse europäische Zertifikate oder bei geringem Risiko eine EU-Konformitätserklärung nutzen und müssen dazu technische Dokumentation, Sicherheitsinformationen, Angaben zu Sicherheitslücken und Unterstützungszeiträumen vorhalten. Nationale Behörden überwachen die Einhaltung, können Auskünfte verlangen, Untersuchungen durchführen, Zertifikate widerrufen und Sanktionen veranlassen. Für Marktakteure erhöht dies die Anforderungen an dokumentierte Cybersicherheit, erleichtert aber zugleich die unionsweite Anerkennung zertifizierter Lösungen.
Stand: 01.07.2026
Empfehlungen und Anforderungen
ENISA: • Pflicht: Unionsorgane und Mitgliedstaaten bei der Entwicklung und Umsetzung der Cybersicherheitspolitik und des Cybersicherheitsrechts fachlich unterstützen. • Pflicht: Die operative Zusammenarbeit, das CSIRTs-Netz, Lageberichte und unionsweite Cybersicherheitsübungen unterstützen und organisieren. • Pflicht: Mögliche europäische Cybersicherheitszertifizierungsschemata ausarbeiten, evaluieren und Informationen hierzu veröffentlichen. • Empfehlung: Aufgabenwahrnehmung risikoorientiert auf Sektoren mit hoher Binnenmarktrelevanz und grenzüberschreitenden Auswirkungen ausrichten. Mitgliedstaaten: • Pflicht: Eine oder mehrere nationale Behörden für die Cybersicherheitszertifizierung benennen und angemessen ausstatten. • Pflicht: Vorschriften über wirksame, verhältnismäßige und abschreckende Sanktionen bei Verstößen erlassen. • Pflicht: Neue nationale Zertifizierungsschemata für bereits unionsrechtlich erfasste Bereiche nicht einführen. • Empfehlung: Nationale Rechtsvorschriften frühzeitig an angenommene europäische Zertifizierungsschemata anpassen. Nationale Behörden für die Cybersicherheitszertifizierung: • Pflicht: Hersteller und Anbieter bei Selbstbewertung der Konformität überwachen und die Einhaltung der europäischen Schemata durchsetzen. • Pflicht: Konformitätsbewertungsstellen unterstützen, beaufsichtigen, gegebenenfalls ermächtigen sowie Beschwerden bearbeiten. • Pflicht: Bei Nichtkonformität Auskünfte verlangen, Untersuchungen durchführen, Zertifikate widerrufen und Sanktionen veranlassen. • Empfehlung: Den Informationsaustausch mit anderen Behörden aktiv nutzen, um unionsweit einheitliche Aufsichtsmaßstäbe zu fördern. Nationale Akkreditierungsstellen: • Pflicht: Konformitätsbewertungsstellen nach den vorgegebenen Anforderungen akkreditieren. • Pflicht: Akkreditierungen beschränken, aussetzen oder widerrufen, wenn Voraussetzungen nicht oder nicht mehr erfüllt sind. • Empfehlung: Die Zusammenarbeit mit den nationalen Behörden für die Cybersicherheitszertifizierung eng strukturieren. Konformitätsbewertungsstellen: • Pflicht: Unabhängigkeit, Fachkunde, Vertraulichkeit und organisatorische Trennung von Interessenkonflikten sicherstellen. • Pflicht: Zertifizierungen nur im Rahmen erteilter Akkreditierungen und gegebenenfalls zusätzlicher Ermächtigungen durchführen. • Pflicht: Anforderungen an Verfahren, Personal, Prüflabore und Dokumentation dauerhaft einhalten. • Empfehlung: Gebühren- und Verfahrensgestaltung so ausrichten, dass auch KMU angemessen Zugang zu Zertifizierungen erhalten. Hersteller oder Anbieter von IKT-Produkten, -Diensten und -Prozessen: • Pflicht: Bei Selbstbewertung der Konformität eine EU-Konformitätserklärung ausstellen und dafür die Verantwortung für die Konformität übernehmen. • Pflicht: Technische Dokumentation, Konformitätsunterlagen und einschlägige Informationen für die zuständige nationale Behörde bereithalten und eine Kopie der Erklärung an Behörde und ENISA übermitteln. • Pflicht: Ergänzende Cybersicherheitsinformationen öffentlich zugänglich machen, insbesondere zu sicherer Konfiguration, Sicherheitsunterstützung, Meldung von Sicherheitslücken und einschlägigen Registern. • Empfehlung: Sicherheitslückenmanagement, sichere Updates und Dokumentation frühzeitig in Entwicklung, Bereitstellung und Wartung integrieren. Inhaber europäischer Cybersicherheitszertifikate: • Pflicht: Später festgestellte Sicherheitslücken oder sicherheitsrelevante Unregelmäßigkeiten unverzüglich der zuständigen Behörde oder Stelle mitteilen. • Pflicht: Die Anforderungen des jeweiligen Zertifizierungsschemas während der Geltungsdauer weiter einhalten. • Empfehlung: Änderungs- und Patchprozesse so steuern, dass Zertifikatsumfang und Gültigkeit nicht unbeabsichtigt gefährdet werden.
Normify Aktualisierungsservice