Die Europäische Kommission hat ein neues Sicherheitspaket vorgeschlagen, um die Widerstandsfähigkeit der EU weiter zu stärken – den EU Cybersecurity Act 2. Warum ist der CSA2 sinnvoll? Was ändert sich dadurch? Und welche Rolle spielt die Systemhärtung? Wir beantworten diese und weitere Fragen kurz und verständlich.
Die EU will ein neues Cybersecurity-Regelwerk haben
Sagen wir, wie es ist: Europa steht unter Beschuss. KI-gestützte Angriffe, komplexe Ransomware-Netzwerke und geopolitisch motivierte Sabotage sind längst keine theoretischen Szenarien mehr, sondern – leider – gelebte Realität. Staaten versuchen mit diesen Bedrohungen umzugehen, indem sie immer mehr IT-Security-Regularien und -Programme ins Leben rufen. Damit sollen Behörden, KRITIS-Organisationen und Unternehmen “ermuntert” werden, Cybersicherheit (endlich) ernst zu nehmen.
Nach NIS2, DORA, CyberGovSecure oder CRA folgt nun eine weitere Initiative. Am 20. Januar 2026 hat die Europäische Kommission den EU Cybersecurity Act 2 (CSA2) vorgelegt. Dieser neue Rechtsrahmen ist kein einfaches Update des bestehenden European Cybersecurity Act, der seit 2019 gilt, sondern eine fundamentale Reform.
Was will der EU Cybersecurity Act 2 verändern?
Der CSA2 könnte die Verordnung von 2019 vollständig ersetzen. Die alte Verordnung soll damit ihre Gültigkeit verlieren und wird durch den neuen European Cybersecurity Act abgelöst. Zusätzlich reformiert der CSA2 den EU-Zertifizierungsrahmen.
Das bedeutet, dass die neuen Regeln oder Standards, die Art und Weise, wie Zertifizierungen in der EU ablaufen, grundlegend verändern. Gleichzeitig wird die ENISA, die europäische Agentur für Cybersicherheit, von einer beratenden zu einer operativen Instanz aufgewertet.
Die Kernziele des CSA2 sind, vereinfacht ausgedrückt: Weg von nationaler Fragmentierung hin zu einer koordinierten EU-Antwort auf Cyberbedrohungen im Highspeed-Tempo!
Wie hängt CSA2 mit NIS2, CRA und CER zusammen?
Der European Cybersecurity Act 2 (CSA2) soll als Bindeglied zwischen der neuen Network and Information Security Directive (NIS2), dem Cyber Resilience Act (CRA) und der Critical Entities Resilience Directive (CER) fungieren. Er wird unter anderem einen Single Entry Point für die Meldung von Vorfällen schaffen. Damit könnte der CSA2 das bisherige Chaos des Mehrfach-Reportings gemäß verschiedener Regularien beenden.
Ein Beispiel: Ein Hersteller von medizinischen IoT-Geräten, muss sich an NIS2 als auch an den Cyber Resilience Act halten. Bei einem Cybersecurity-Vorfall hat das Unternehmen diesen an verschiedene Behörden zu melden, oft mit unterschiedlichen Formaten, Fristen und Anforderungen. Dies führte zu einem erheblichen administrativen Aufwand durch Mehrfacharbeit. Der CSA2 schafft hier Abhilfe, indem er einen einheitlichen Meldeweg einführt.
Welche Unternehmen sind vom CSA2 betroffen?
Der CSA2 richtet sich an Hersteller und Anbieter von ICT-Produkten, -Diensten und -Prozessen, einschließlich Cloud-Provider, die als „High Assurance“-Testfälle fungieren. Auch Managed Security Service Provider (MSSP) fallen künftig stärker unter die europäische Zertifizierung. Betreiber kritischer Infrastrukturen, wie sie in den NIS2-Sektoren definiert sind, sowie Anbieter elektronischer Kommunikationsnetze sind ebenfalls betroffen.
Aktuell ist der CSA2 noch nicht final angenommen. Im Europäischen Parlament läuft das Verfahren unter der Akte 2026/0011(COD) und wird als „awaiting committee decision“ geführt. Ein fester Termin für das Inkrafttreten steht noch nicht fest.
Welche Rolle spielt Systemhärtung beim CSA2?
Wie gesagt: Die Überarbeitung des European Cybersecurity Act ist noch nicht verabschiedet, es gibt derzeit nur einen Entwurf (“Proposal for a Regulation for the EU Cybersecurity Act”). In den dazugehörigen Downloads wird nirgends der Begriff “Systemhärtung” bzw. “System Hardening” genannt. Dafür wird unter anderem von “Secure Configuration” und “Mitigation Measures” gesprochen.
Hersteller und Anbieter zertifizierter ICT-Produkte, -Dienste oder -Prozesse müssen Nutzern „Guidance and Recommendations“ für die sichere Konfiguration, Installation, Bereitstellung, Betrieb und Wartung bereitstellen. Zudem verlangt der Entwurf ein „Secure by Default and byDesign“. Diese Forderung kennt man ja schon aus dem Cyber Resilience Act, wozu das BSI beispielsweise sagt:
“Nach dem Konfigurationsgrundsatz „Secure by Default“ müssen die Standardeinstellungen vernetzter Produkte zur Erhöhung deren Sicherheit beitragen, z.B. durch das Verbot schwacher Standardpasswörter, durch die automatische Installation von Sicherheitsupdates usw.”
Der CSA2 sieht das ebenso: Konfigurationen müssen vor unbefugter Manipulation geschützt werden, und es darf keine bekannten ausnutzbaren Schwachstellen geben. Regelmäßige Tests und Sicherheitsprüfungen, einschließlich Penetrationstests auf High-Assurance-Niveau, sind ebenfalls vorgeschrieben.
Ein weiterer zentraler Punkt ist die fortlaufende Konformität. Zertifizierungsschemata müssen Regeln enthalten, wie die Compliance zertifizierter Produkte, Dienste oder Prozesse laufend überwacht und dokumentiert wird. Eine sichere Konfiguration (aka Systemhärtung) ist also kein Einmalzustand, sondern eine dauerhaft nachzuweisende Eigenschaft.
Fazit
Mit dem EU Cybersecurity Act 2 wird das Prinzip Hoffnung ad acta gelegt. Secure Configuration bzw. System Hardening sind keine freiwillige Selbstkontrolle mehr, sondern werden zur strategisch relevanten Rechts- und Marktanforderung.
Das bedeutet für Sie als IT-Entscheider oder Security-Verantwortlichen: Wer die neuen Anforderungen an Lieferketten, Zertifizierungen und sichere Konfigurationen ignoriert, riskiert nicht nur den Marktzugang, sondern auch existenzbedrohende Sanktionen. Der CSA2 ist somit kein weiterer bürokratischer Papiertiger. Er wird zum elementaren Pflichtenheft, das Sie abarbeiten müssen.
Sie wissen noch nicht, wie Sie eine Systemhärtung gemäß CSA2 und anderen Regularien umsetzen können? Dann wenden Sie sich an uns! Wir erläutern Ihnen gerne, wie Sie einen professionellen Hardening-Prozess in Ihrer Organisation implementieren können. Gerne zeigen wir Ihnen auch, wie Sie mit dem Enforce Administrator die Härtung Ihrer Systeme automatisieren und die nötigen Audit-Reports auf Knopfdruck erhalten.
Bilder: Magnific, EU Commission