← Zurück zum Sicherheitsblog

CRA-Durchsetzung beginnt mit dem ersten Treffen der Verwaltungskooperationsgruppe, AI-Board treibt Strategie voran, ENISA startet Umfrage zur Bereitschaft von KMU

Eine wegweisende Woche für die Cybersicherheitsregulierung der EU. Der Cyber Resilience Act geht mit dem ersten Treffen der Verwaltungskooperationsgruppe von der Theorie in die Praxis über. Das AI-Board kommt zu seiner 7. Sitzung zusammen, um die Durchsetzungsstrategie zu gestalten. ENISA befragt KMU zu ihrer CRA-Bereitschaft. Das Programm „Digitales Europa“ richtet sich neu aus, um auf sich wandelnde Bedrohungen zu reagieren. Und Warnungen des FBI vor russischen Geheimdiensten, die verschlüsselte Messaging-Apps ins Visier nehmen, verdeutlichen, warum die Meldung von Sicherheitsvorfällen gemäß NIS2 wichtiger ist denn je.

---

🏛️ Cyber Resilience Act: Erste Verwaltungskooperationsgruppe kommt zusammen

Die Verwaltungskooperationsgruppe bringt nationale Marktüberwachungsbehörden aus den Mitgliedstaaten der EU zusammen. Ihr Auftrag: die Durchsetzung der Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen zu koordinieren, die im europäischen Binnenmarkt verkauft werden.

Was dies für Organisationen bedeutet

Die Aktivierung der Gruppe signalisiert, dass die Durchsetzung nicht länger theoretisch ist. Die Marktüberwachungsbehörden koordinieren sich nun in folgenden Bereichen:

• Harmonisierte Durchsetzungsverfahren: Gewährleistung einer einheitlichen Anwendung der CRA-Anforderungen in allen 27 Mitgliedstaaten
• Produkttestprotokolle: Festlegung gemeinsamer Methoden zur Überprüfung der Cybersicherheitskonformität von Produkten
• Grenzüberschreitende Zusammenarbeit: Straffung des Verfahrens, um nicht konforme Produkte gleichzeitig aus mehreren nationalen Märkten zu entfernen
• Sanktionsrahmen: Abstimmung der Sanktionsansätze, wobei Geldbußen von bis zu 15 Millionen € oder 2,5 % des weltweiten Jahresumsatzes möglich sind

Wichtiger CRA-Zeitplan

Datum	Verpflichtung
Sept. 2026	Die Meldepflichten für Schwachstellen und Sicherheitsvorfälle treten in Kraft
Dez. 2027	Vollständige Compliance für alle Produkte mit digitalen Elementen erforderlich
Fortlaufend	Sicherheitsupdates für die Produktlebensdauer oder mindestens 5 Jahre erforderlich

---

🤖 AI-Board kommt zur 7. Sitzung über die Durchsetzungsstrategie zusammen

Ebenfalls am 20. März hielt das AI-Board der EU seine 7. Sitzung ab, bei der Vertreter aller Mitgliedstaaten zusammenkamen, um die neuesten Entwicklungen der AI-Strategie der Kommission zu erörtern. Das Board ist das zentrale Leitungsgremium, das für die einheitliche Anwendung des EU AI Act in der gesamten Union verantwortlich ist.

Wichtige Diskussionspunkte

• Harmonisierte Standards: Fortschritte bei der Entwicklung technischer Standards für die Compliance von Hochrisiko-AI-Systemen, die ab August 2026 gelten sollen
• AI-Modelle mit allgemeinem Verwendungszweck: Durchsetzungsansätze für Anbieter von Basismodellen, einschließlich Transparenz- und Urheberrechtspflichten
• Nationale Durchsetzungsbehörden: Koordination zwischen den AI-Behörden der Mitgliedstaaten bei Inspektionsmethoden und dem Austausch von Fachwissen
• Leitlinien des AI-Amts: Überprüfung der neuesten Leitfäden des AI-Amts der EU zu verbotenen AI-Praktiken, die seit Februar 2025 in Kraft sind

---

📊 ENISA befragt KMU zu ihrer CRA-Bereitschaft

Am 18. März startete ENISA eine gezielte Umfrage für kleine und mittlere Unternehmen, um deren Kenntnis des Cyber Resilience Act und ihre Bereitschaft dafür zu bewerten. Die Umfrage soll drei entscheidende Aspekte untersuchen:

• Kenntnisstand zum CRA: Wissen KMU, dass die Verordnung existiert, und verstehen sie ihre Verpflichtungen?
• Bereitschaft und Reifegrad: Wie gut sind KMU darauf vorbereitet, die Cybersicherheitsanforderungen für ihre Produkte zu erfüllen?
• Unterstützungsbedarf: Welche Art von Leitlinien, Werkzeugen und Ressourcen wäre für KMU am hilfreichsten?

Dies ist bedeutsam, weil KMU die Mehrheit der Produkthersteller in der EU ausmachen. Viele verfügen über keine eigenen Sicherheitsteams und könnten Schwierigkeiten haben, die CRA-Anforderungen zu erfüllen — insbesondere bei der SBOM-Dokumentation, den Verfahren zur Schwachstellenbehandlung und den Konformitätsbewertungsverfahren.

---

💶 Programm „Digitales Europa“ passt sich den sich wandelnden Bedrohungen an

Am 19. März gab die Europäische Kommission bekannt, dass das Programm „Digitales Europa“ neu strukturiert wird, um den sich wandelnden Anforderungen an die digitale Sicherheit Europas besser gerecht zu werden. Das Programm finanziert den Aufbau von Cybersicherheitskapazitäten, darunter:

• Nationale SOC-Netzwerke: Grenzüberschreitende Sicherheitsleitstellen zur Erkennung von Bedrohungen und zum Austausch von Bedrohungsinformationen
• Cybersicherheitskompetenzen: Schulungsprogramme zur Bewältigung des chronischen Mangels an Cybersicherheitsfachkräften in den Mitgliedstaaten
• Unterstützungswerkzeuge für KMU: Praktische Ressourcen und Hilfe bei der Zertifizierung für kleinere Organisationen, die die NIS2- und CRA-Anforderungen erfüllen müssen
• AI-Cybersicherheit: Finanzierung der Forschung zu AI-gestützter Bedrohungserkennung und Reaktionsfähigkeit

Unabhängig davon eröffnete das Europäische Kompetenzzentrum für Cybersicherheit (ECCC) am 17. März eine neue Ausschreibung im Rahmen von „Horizont Europa“ im Wert von 56,2 Millionen €, die speziell auf Forschung und Innovation im Bereich Cybersicherheit ausgerichtet ist. Dies ist eine der größten einzelnen Finanzierungsrunden für Forschung und Entwicklung im Bereich Cybersicherheit in der EU.

---

🔐 FBI-Warnung: Russische Geheimdienste nehmen verschlüsselte Kommunikation ins Visier — Auswirkungen auf NIS2

Am 20. März veröffentlichte das FBI eine öffentliche Warnmeldung, wonach mit russischen Geheimdiensten verbundene Bedrohungsakteure Nutzer von Signal, WhatsApp und anderen verschlüsselten Messaging-Apps aktiv mit ausgeklügelten Phishing-Kampagnen angreifen. Tausende Konten wurden bereits kompromittiert.

Warum dies für die NIS2-Compliance wichtig ist

Die Angriffskampagne hat unmittelbare Auswirkungen auf Organisationen, die NIS2-Verpflichtungen unterliegen:

• Meldung von Sicherheitsvorfällen: Wenn Ihre Mitarbeiter verschlüsselte Nachrichten für geschäftliche Kommunikation verwenden und ihre Konten kompromittiert werden, kann dies die gemäß NIS2 vorgeschriebene Frühwarnung innerhalb von 24 Stunden und Meldung des Sicherheitsvorfalls innerhalb von 72 Stunden auslösen
• Lieferkettenrisiko: Kompromittierte Messaging-Konten können zur Identitätsvortäuschung vertrauenswürdiger Kontakte genutzt werden und möglicherweise die von NIS2 erfasste Lieferkettenkommunikation gefährden
• Sicherheitsmaßnahmen: NIS2 verlangt „geeignete und verhältnismäßige“ technische Maßnahmen — Organisationen sollten prüfen, ob ihre Richtlinien für verschlüsselte Kommunikation phishingresistente Authentifizierungsmechanismen vorsehen
• Staatlich unterstützte Bedrohungen: NIS2 befasst sich ausdrücklich mit staatlichen Bedrohungsakteuren. Diese FBI-Warnung liefert konkrete Erkenntnisse, die in die Risikobewertungen von Organisationen einfließen sollten

---

📈 Statusaktualisierung zu NIS2 & DORA

NIS2: Grenzüberschreitende Zusammenarbeit nimmt Fahrt auf

• ENISA führt ihren Vorsitz im Netzwerk der Agenturen der EU (EUAN) bis 2026 fort, wobei die Cybersicherheitssteuerung in den Institutionen der EU höchste Priorität hat
• Die aktualisierte internationale Strategie von ENISA (veröffentlicht am 9. Februar) stärkt die Abstimmung mit der internationalen Cybersicherheitspolitik der EU und fördert die Werte der EU in der globalen Cybersicherheitssteuerung
• ENISA als CVE-Root: Seit November 2025 fungiert ENISA als CVE-Programm-Root und zentralisiert die europäische Koordination von Schwachstellen — eine Fähigkeit, die die Offenlegungsanforderungen von NIS2 für Schwachstellen unmittelbar unterstützt
• Methodik für Cybersicherheitsübungen (veröffentlicht am 16. Februar) bietet Organisationen einen strukturierten Rahmen für den Aufbau interner Cybersicherheitsübungen — und unterstützt damit unmittelbar die Testanforderungen von NIS2

DORA: Compliance-Kontrollpunkt im 1. Quartal 2026

Der Digital Operational Resilience Act ist seit dem 17. Januar 2025 durchsetzbar. Finanzunternehmen sollten die Anforderungen inzwischen vollständig erfüllen. Zentrale Aktivitäten für das 1. Quartal 2026:

• IKT-Drittparteien-Risikoregister vervollständigen und alle kritischen und wichtigen Dienstleister identifizieren
• Berichte über IKT-bezogene Sicherheitsvorfälle mithilfe der standardisierten Vorlagen der Europäischen Aufsichtsbehörden einreichen
• Erste Runde bedrohungsgeleiteter Penetrationstests (TLPT) für bedeutende Finanzinstitute durchführen
• Vereinbarungen zum Informationsaustausch mit Branchenpartnern über etablierte ISACs abschließen

---

🗓️ Bevorstehende regulatorische Fristen

Datum	Verordnung	Meilenstein
Juni 2026	NIS2	Niederlande: Frist für die Selbsteinschätzung von Einrichtungen
Aug. 2026	EU AI Act	Verpflichtungen für Hochrisiko-AI-Systeme treten in Kraft
Sept. 2026	CRA	Die Meldepflichten für Schwachstellen und Sicherheitsvorfälle treten in Kraft
4. Quartal 2026	DORA	Abschluss des ersten TLPT-Zyklus für bedeutende Unternehmen
2027	EU AI Act	Verpflichtungen für AI-Modelle mit allgemeinem Verwendungszweck treten in Kraft
Dez. 2027	CRA	Vollständige Produkt-Compliance erforderlich

---

✅ Compliance-Maßnahmen für diese Woche

1. CRA: Verfolgen Sie die Ergebnisse der Verwaltungskooperationsgruppe. Beginnen Sie mit der Produktinventarisierung und SBOM-Dokumentation, falls Sie dies noch nicht getan haben. Bis September 2026 sind es noch sechs Monate.
2. EU AI Act: Ordnen Sie Ihre AI-Systeme den Risikokategorien zu. Die Hochrisiko-Verpflichtungen gelten ab August 2026 — in weniger als fünf Monaten.
3. ENISA-Umfrage für KMU: Wenn Sie ein KMU sind, das digitale Produkte herstellt, nehmen Sie an der CRA-Bereitschaftsumfrage teil, um die Unterstützungsressourcen mitzugestalten, die Ihnen zur Verfügung gestellt werden.
4. NIS2: Geben Sie einen internen Warnhinweis zur Phishing-Kampagne russischer Geheimdienste gegen Messaging-Dienste heraus. Überprüfen Sie die Sicherheitsrichtlinien für verschlüsselte Kommunikation. Aktualisieren Sie die Dokumentation zur Bedrohungsbewertung.
5. DORA: Stellen Sie sicher, dass die IKT-Vorfallberichte für das 1. Quartal eingereicht wurden. Schließen Sie die TLPT-Umfangsplanung für bedeutende Finanzunternehmen ab. Überprüfen Sie die Vollständigkeit des Drittparteien-Risikoregisters.
6. Finanzierung: Prüfen Sie die ECCC-Ausschreibung im Rahmen von „Horizont Europa“ über 56,2 Mio. € — Cybersicherheitsförderung für Forschung und Entwicklung in dieser Größenordnung ist selten. Die Bewerbungsfristen betragen üblicherweise 90 Tage.