ENISA

Die ENISA ist die Agentur der Europäischen Union für Cybersicherheit. Der Cyber Resilience Act (CRA) errichtet sie nicht und definiert sie auch nicht in Artikel 3, sondern überträgt einer bestehenden Einrichtung neue Aufgaben. Ihre Rechtsgrundlage ist die Verordnung (EU) 2019/881, der Rechtsakt zur Cybersicherheit.

Für Hersteller ist die Agentur vor allem eines: die zweite Empfängerin jeder Pflichtmeldung. Fast alles andere, was der CRA ihr aufträgt, geschieht ohne unmittelbaren Kontakt zum einzelnen Unternehmen.

Woher das Mandat stammt

Artikel 3 Absatz 1 der Verordnung (EU) 2019/881 beschreibt die ENISA als Bezugspunkt für Beratung und Sachkenntnis im Bereich Cybersicherheit, und zwar für die Organe, Einrichtungen und sonstigen Stellen der Union sowie für andere maßgebliche Interessenträger der Union. Bei der Wahrnehmung ihrer Aufgaben handelt sie unabhängig. Auf dieselbe Verordnung greift der CRA auch inhaltlich zurück: Sein Begriff der Cybersicherheit ist der aus Artikel 2 Nummer 1 jener Verordnung.

Empfängerin jeder Pflichtmeldung

Artikel 14 Absätze 1 und 3 verlangen, dass eine aktiv ausgenutzte Schwachstelle und ein schwerwiegender Sicherheitsvorfall gleichzeitig dem als Koordinator benannten CSIRT und der ENISA gemeldet werden. Ein Wahlrecht zwischen beiden gibt es nicht, wohl aber einen einzigen Weg: Übermittelt wird über den Endpunkt des zuständigen CSIRT auf der einheitlichen Meldeplattform, und die Meldung ist der ENISA parallel zugänglich.

Für besondere außergewöhnliche Umstände kennt Artikel 16 Absatz 2 eine Abweichung. Dann erhält die ENISA zunächst nur einen Auszug: die Tatsache der Meldung, allgemeine Angaben zum Produkt, die allgemeine Art der Ausnutzung und den Hinweis, dass Sicherheitsgründe geltend gemacht wurden. Hält sie auf dieser Grundlage ein Systemrisiko für die Sicherheit des Binnenmarkts für gegeben, empfiehlt sie dem empfangenden CSIRT, die vollständige Meldung weiterzuleiten.

Betreiberin der Meldeplattform

Artikel 16 Absatz 1 beauftragt die ENISA, die einheitliche Meldeplattform einzurichten und ihren laufenden Betrieb zu steuern und aufrechtzuerhalten. Nach Absatz 4 ergreift sie geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen für deren Sicherheit und meldet einen Sicherheitsvorfall, der die Plattform selbst betrifft, unverzüglich dem CSIRTs-Netzwerk und der Kommission. Die Spezifikationen für Einrichtung, Pflege und sicheren Betrieb stellt sie nach Absatz 5 in Zusammenarbeit mit dem CSIRTs-Netzwerk bereit und setzt sie um.

Was sie mit den Meldungen macht

Artikel 17 nennt drei Verwendungen, die die ENISA selbst vornimmt:

• Sie kann gemeldete Informationen an das Europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe) weitergeben, soweit diese für das koordinierte Management massiver Cybersicherheitsvorfälle und Cyberkrisen auf operativer Ebene von Bedeutung sind.
• Sie erstellt alle 24 Monate einen technischen Bericht über aufkommende Trends der Cybersicherheitsrisiken bei Produkten mit digitalen Elementen und legt ihn der Kooperationsgruppe nach Artikel 14 der NIS-2-Richtlinie vor. Der erste Bericht ist binnen 24 Monaten nach Geltungsbeginn der Meldepflichten fällig, also bis zum 11. September 2028.
• Sie nimmt eine gemeldete, öffentlich bekannte Schwachstelle in die Europäische Schwachstellendatenbank auf, sobald eine Sicherheitsaktualisierung oder eine andere Korrektur- oder Risikominderungsmaßnahme verfügbar ist, und zwar im Einvernehmen mit dem Hersteller.

Zweite Adresse für freiwillige Meldungen

Bei den freiwilligen Meldungen nach Artikel 15 kehrt sich das Verhältnis um. Wer eine Schwachstelle, eine Cyberbedrohung, einen Sicherheitsvorfall oder einen Beinahe-Vorfall freiwillig melden will, kann sich an ein als Koordinator benanntes CSIRT oder an die ENISA wenden. Beide sichern nach Artikel 15 Absatz 5 Vertraulichkeit und angemessenen Schutz der übermittelten Informationen zu, und eine freiwillige Meldung darf der meldenden Person keine zusätzlichen Pflichten auferlegen, die ohne sie nicht gegolten hätten.

Zuarbeit für Marktüberwachung und Kommission

Gegenüber Herstellern hat die ENISA keine Befugnisse, gegenüber den Behörden aber Gewicht. Nach Artikel 52 Absatz 4 arbeiten die Marktüberwachungsbehörden bei der Aufsicht über die Meldepflichten des Artikels 14 mit den als Koordinatoren benannten CSIRTs und der ENISA zusammen und tauschen mit ihnen regelmäßig Informationen aus. Nach Absatz 5 können sie die Agentur um technische Beratung und, in einer Untersuchung nach Artikel 54, um eine Analyse zur Untermauerung der Konformitätsbewertung ersuchen.

Zwei weitere Wege führen von der Agentur zurück in den Markt. Nach Artikel 59 Absatz 2 schlagen die Kommission oder die ENISA gemeinsame Tätigkeiten zur Überprüfung der Einhaltung der Verordnung vor, die von den Marktüberwachungsbehörden durchgeführt werden sollen. Bestimmt die ENISA Kategorien von Produkten, zu denen koordinierte Kontrollen organisiert werden können, so legt sie dem Koordinator der Kontrollen nach Artikel 60 Absatz 3 einen Vorschlag zur Prüfung durch die Marktüberwachungsbehörden vor, ausdrücklich auch auf der Grundlage der nach Artikel 14 Absätze 1 und 3 bei ihr eingegangenen Meldungen. Wer meldet, liefert damit Material, das die Prüfschwerpunkte der kommenden Jahre mitbestimmt.

Was die ENISA nicht ist

Sie ist keine Marktüberwachungsbehörde. Sie entscheidet nicht über die Konformität eines Produkts und ordnet weder eine Rücknahme noch einen Rückruf an. Über Sanktionen und Geldbußen entscheiden nach Artikel 64 die Mitgliedstaaten, die dafür die Vorschriften erlassen. Sie ist auch keine Zertifizierungsstelle: Bei den europäischen Schemata für die Cybersicherheitszertifizierung arbeitet sie im Auftrag der Kommission ein mögliches Schema aus, angenommen wird das Schema aber durch Durchführungsrechtsakt der Kommission.

Eine Freigabe, ein Prüfzeichen oder eine verbindliche Auskunft der ENISA gibt es für Produkte mit digitalen Elementen daher nicht.

Ab wann das praktisch wird

Artikel 14 gilt nach Artikel 71 Absatz 2 ab dem 11. September 2026, mehr als ein Jahr vor dem allgemeinen Geltungsbeginn am 11. Dezember 2027. Die Meldebeziehung zur ENISA ist damit die erste Pflicht des CRA, die Hersteller tatsächlich erreicht. Bis zum 11. September 2028 bewertet die Kommission nach Artikel 70 Absatz 2 die Wirksamkeit der Meldeplattform, nach Konsultation der ENISA und des CSIRTs-Netzwerks.