EUCC-Zertifizierung in Beschaffung und Lieferantenbewertung: was ein Zertifikat belegt und was nicht

Problem in der Praxis

In Beschaffungen wird das Zertifikat regelmäßig als Pauschalsiegel behandelt: "zertifiziert" wandert als Ja/Nein-Kriterium in die Anforderungsliste, ohne dass jemand prüft, was genau zertifiziert wurde. Dabei entscheiden drei Angaben über den Wert des Nachweises: der Evaluierungsgegenstand (deckt er die Funktionen ab, auf die es im Einsatz ankommt, oder nur einen Teil des Produkts?), die Grundlage der Evaluierung (eigenes Sicherheitsziel des Antragstellers oder ein zertifiziertes Schutzprofil der Produktkategorie?) und die Stufe ("mittel" oder "hoch", Art. 4 der DVO). Zwei Produkte "mit EUCC-Zertifikat" können daher völlig unterschiedlich belastbare Nachweise tragen.

Dazu kommt die Zeitdimension: Zertifikate haben eine Geltungsdauer, können überprüft und widerrufen werden (Art. 13, Art. 14 der DVO), und der Inhaber trägt laufende Schwachstellenmanagement-Pflichten (Kapitel VI, eu-cert-002). Ein Beschaffungsprozess, der das Zertifikat nur am Stichtag der Auswahl prüft, verpasst Widerrufe und Abläufe im Betrieb. Und schließlich die Verwechslung der Regime: Ein EUCC-Zertifikat ist kein CRA-Konformitätsnachweis aus sich heraus (eu-cert-004) und sagt nichts darüber, ob der Anbieter seine gesetzlichen Produktpflichten erfüllt.

CISO-Einordnung

Was ein EUCC-Zertifikat für den Einkauf aussagt, entlang der Verordnung:

Gegenstand und Grundlage. Zertifiziert ist ein Evaluierungsgegenstand: ein IKT-Produkt oder ein Teil davon (Art. 2 Nr. 3 der DVO (EU) 2024/482), evaluiert gegen das Sicherheitsziel des Antragstellers oder gegen ein zertifiziertes Schutzprofil seiner Produktkategorie (Art. 5 Abs. 1). Für die Bewertung heißt das: Erst der Abgleich zwischen Evaluierungsgegenstand und eigenem Einsatzzweck macht das Zertifikat aussagekräftig. Ein Schutzprofil-basiertes Zertifikat sagt zusätzlich, dass gegen einen umsetzungsunabhängigen Anforderungssatz für die ganze Produktkategorie geprüft wurde und nicht nur gegen ein Sicherheitsziel, das der Antragsteller für sein eigenes Produkt formuliert hat. Es sagt nicht, dass die Anforderungen von einer herstellerunabhängigen Stelle stammen: Die DVO (EU) 2024/482 schreibt für die Urheberschaft eines Schutzprofils niemanden vor (Art. 2 Nr. 5), und Art. 16 kennt schlicht einen Antragsteller. Unabhängig sind die Evaluierung durch die ITSEF und die Zertifizierung, die nur eine nationale Behörde, eine akkreditierte öffentliche Stelle oder eine dafür genehmigte Zertifizierungsstelle vornehmen darf (Art. 17 Abs. 3 und 4). Wer ein Schutzprofil als Branchenmaßstab wertet, prüft deshalb, wer es erarbeitet hat.

Stufe und Risiko. Die Stufen "mittel" (AVA_VAN 1 oder 2) und "hoch" (AVA_VAN 3, 4 oder 5) unterscheiden die Tiefe der Schwachstellenanalyse (Art. 4 der DVO, Art. 2 Nr. 8). Der Maßstab für die Auswahl steht im CSA: Die Stufe muss in einem angemessenen Verhältnis zu dem mit der beabsichtigten Verwendung verbundenen Risiko im Hinblick auf Wahrscheinlichkeit und Auswirkungen eines Sicherheitsvorfalls stehen (Art. 52 Abs. 1). Für ein Produkt an exponierter Stelle mit hohem Schadenspotenzial ist eine höhere Stufe der sachgerechte Anspruch; für Standardeinsätze kann "mittel" genügen. Eine allgemeingültige Zuordnung von Einsatzszenarien zu Stufen gibt es nicht, und dieser Artikel behauptet keine.

Vermutungswirkung und Grenzen. Zertifizierte Produkte gelten als konform mit den Anforderungen des Schemas (Art. 56 Abs. 1 CSA). Nicht mehr: Das Zertifikat trifft keine Aussage über die Sicherheit der Gesamtlösung, in die das Produkt eingebettet wird, über die evaluierte Konfiguration hinaus, oder über künftige Versionen. Selbstbewertungen gibt es im EUCC nicht (Art. 6 der DVO); jedes echte EUCC-Zertifikat beruht auf Drittevaluierung durch ITSEF und Zertifizierungsstelle (eu-cert-002).

Lebenszyklus. Die Zertifizierungsstelle setzt je Zertifikat eine Geltungsdauer fest, die fünf Jahre nicht überschreiten darf, mit behördlich zustimmungspflichtigen Ausnahmen (Art. 12 der DVO). Zertifikate können überprüft (Art. 13) und widerrufen werden (Art. 14). Der Inhaber muss Methoden für die Entgegennahme von Schwachstelleninformationen veröffentlichen (Art. 33 Abs. 2) und nach einem Widerruf öffentlich bekannte und beseitigte Schwachstellen offenlegen und registrieren (Art. 39).

Informationsquellen für Einkäufer. Die ENISA unterhält nach Art. 50 Abs. 1 CSA eine Website, auf der sie über Schemata, Zertifikate und EU-Konformitätserklärungen informiert, einschließlich widerrufener und abgelaufener Zertifikate. Hersteller und Anbieter zertifizierter Produkte müssen ergänzende Cybersicherheitsangaben öffentlich zugänglich machen: Leitlinien zur sicheren Konfiguration, Installation, Betrieb und Wartung, den Zeitraum der Sicherheitsunterstützung insbesondere zur Verfügbarkeit von Sicherheitsaktualisierungen, Kontaktangaben für Schwachstellenmeldungen und Verweise auf Online-Register offengelegter Sicherheitslücken (Art. 55 Abs. 1 CSA); diese Angaben müssen elektronisch verfügbar bleiben, mindestens bis zum Ablauf des Zertifikats (Art. 55 Abs. 2). Das ist für die Lieferantenbewertung unmittelbar nutzbar: Wer die Art.-55-Angaben nicht findet, hat einen konkreten, zitierfähigen Mangel.

Abgrenzung zu den Nachbar-Tracks: Der cra-Track behandelt die gesetzlichen Produktpflichten der Hersteller; ob ein EUCC-Zertifikat dort als Nachweis zählt, steht in eu-cert-004. Der nis2-Track behandelt die Pflichten von Einrichtungen, zu denen Lieferkettensicherheit gehört; die EUCC-Zertifizierung kann dort als Baustein der Lieferantenbewertung dienen, ersetzt aber keine der NIS2-Maßnahmen. Beschaffungsvorgaben der öffentlichen Hand und sektorspezifische Einsatzpflichten sind nicht Gegenstand dieses Artikels.

Umsetzungsperspektive

Der Weg vom Siegel zum Werkzeug führt über drei Schritte. Erstens die Anforderungsseite: Definieren Sie je Einsatzszenario, welche Vertrauenswürdigkeitsstufe dem Risiko angemessen ist (Art. 52 Abs. 1 CSA als Maßstab), und ob ein Schutzprofil für die Produktkategorie existiert, dessen Zertifizierung Sie verlangen können. Zweitens die Prüfseite: Nehmen Sie in die Bewertung auf, was der Evaluierungsgegenstand tatsächlich umfasst und in welcher Konfiguration evaluiert wurde; verlangen Sie vom Anbieter die Art.-55-Angaben und prüfen Sie deren Vorhandensein. Drittens die Betriebsseite: Überwachen Sie Geltungsdauer und Status der Zertifikate im Bestand (Widerruf, Ablauf) über die ENISA-Website nach Art. 50 CSA und die Register nach Art. 39 der DVO, und verankern Sie im Vertrag, dass der Anbieter Sie über Statusänderungen informiert.

Wichtig bleibt die Erwartungssteuerung: Da die Zertifizierung freiwillig ist (Art. 56 Abs. 2 CSA) und das Schema erst seit dem 27.02.2025 gilt (eu-cert-003), ist der zertifizierte Produktbestand vor jeder Beschaffungsvorgabe fuer die eigene Produktkategorie zu pruefen, ueber die Website nach Art. 50 CSA. Eine Aussage darueber, wie gross er ist, trifft dieser Artikel nicht; erhoben wurde er hier nicht. Eine harte Beschaffungsanforderung "nur EUCC-zertifizierte Produkte" kann Ausschreibungen leerlaufen lassen, wenn die Pruefung fuer die betroffene Kategorie zu wenige Zertifikate ergibt. Praktikabler ist eine gestufte Anforderung: Zertifikat gefordert, wo das Risiko es trägt und der Markt es hergibt; ersatzweise dokumentierte Begründung und kompensierende Nachweise.

Typische Fehler

1. "Zertifiziert" als Ja/Nein-Kriterium führen, ohne Evaluierungsgegenstand, Grundlage (Sicherheitsziel oder Schutzprofil) und Stufe zu prüfen; zwei EUCC-Zertifikate können sehr unterschiedlich belastbare Nachweise sein.
2. Das Zertifikat als Beleg für die Sicherheit der Gesamtlösung lesen; evaluiert ist der abgegrenzte Gegenstand in der evaluierten Konfiguration, nicht Ihre Integration und Ihr Betrieb.
3. Zertifikat mit Rechtskonformität gleichsetzen; ein EUCC-Zertifikat belegt die Einhaltung der Schema-Anforderungen (Art. 56 Abs. 1 CSA), nicht die Erfüllung gesetzlicher Produktpflichten (eu-cert-004, cra-Track).
4. Den Zertifikatsstatus nur bei der Auswahl prüfen; Geltungsdauer (Art. 12 der DVO), Überprüfung (Art. 13) und Widerruf (Art. 14) machen die Überwachung zur Betriebsaufgabe.
5. Die Pflichtangaben nach Art. 55 CSA nicht abfragen, obwohl sie öffentlich verfügbar sein müssen und ein einfacher Qualitätsindikator sind.
6. Eine Stufe pauschal vorschreiben, ohne den Maßstab des Art. 52 Abs. 1 CSA (Risiko der beabsichtigten Verwendung) auf das Einsatzszenario anzuwenden.
7. Von Anbietern eine "EUCC-Selbstzertifizierung" akzeptieren; Selbstbewertungen sind im EUCC nicht zulässig (Art. 6 der DVO).

Risiken und Trade-offs

Der Haupttrade-off in der Beschaffung ist Nachweisgüte gegen Marktbreite: Je härter die Zertifikatsanforderung (Pflicht statt Bonus, Stufe "hoch" statt "mittel", Schutzprofil-Basis statt eigenem Sicherheitsziel), desto belastbarer der Nachweis und desto kleiner der lieferfähige Anbieterkreis. Das Schema gilt erst seit dem 27.02.2025; wer die Anforderung härter setzt, als der zertifizierte Produktbestand hergibt, bezahlt mit leeren Ausschreibungen oder Ausnahmeanträgen, die die Anforderung wieder aushöhlen. Wie groß dieser Bestand ist, wurde für diesen Artikel nicht erhoben und ist vor jeder Vorgabe zu prüfen.

Der zweite Trade-off betrifft die Prüftiefe der eigenen Organisation: Die drei Angaben Gegenstand, Grundlage und Stufe zu bewerten kostet Fachzeit im Einkauf oder bei der Security; sie nicht zu bewerten macht das Kriterium wertlos. Ein Mittelweg ist die Standardisierung: einmal definierte Prüffragen je Produktkategorie statt Einzelfallanalyse je Beschaffung.

Schließlich das Restrisiko der Vermutungswirkung: Auch ein Zertifikat der Stufe "hoch" ist eine Momentaufnahme des evaluierten Standes mit begrenzter Geltungsdauer. Schwachstellen nach der Evaluierung, Konfigurationsabweichungen im Betrieb und Versionswechsel liegen außerhalb seiner Aussage; die eigenen Kontrollen (Härtung, Monitoring, Patch-Management) bleiben tragend.

Entscheidungspunkte

• Für welche Produktkategorien und Einsatzszenarien verlangen wir EUCC-Zertifikate, ab welcher Stufe, und ab wann (Marktreife)?
• Wie prüfen wir je Beschaffung Evaluierungsgegenstand, Grundlage und Stufe gegen den Einsatzzweck, und wer tut das?
• Wie überwachen wir Status und Ablauf der Zertifikate im Bestand, und welche vertraglichen Informationspflichten legen wir Anbietern auf?
• Wie bewerten wir Produkte ohne EUCC-Zertifikat: welche kompensierenden Nachweise akzeptieren wir, und wer entscheidet über Ausnahmen?
• Nutzen wir die Art.-55-Angaben (Supportzeitraum, Update-Verfügbarkeit, Schwachstellen-Meldewege) systematisch in der Lieferantenbewertung?

Praktische Empfehlungen

1. Ersetzen Sie das Ja/Nein-Kriterium "zertifiziert" durch drei Prüffragen: Was ist der Evaluierungsgegenstand? Sicherheitsziel oder Schutzprofil? Welche Stufe, und passt sie zum Risiko des Einsatzes (Art. 52 Abs. 1 CSA)?
2. Fordern Sie mit dem Angebot die Zertifikatsangaben und die ergänzenden Informationen nach Art. 55 CSA an; deren Fehlen ist ein dokumentierbarer Mangel, denn sie müssen öffentlich und mindestens bis zum Zertifikatsablauf verfügbar sein.
3. Nehmen Sie Zertifikate in das Bestandsregister auf (Produkt, Version, Gegenstand, Stufe, Geltungsdauer) und prüfen Sie den Status zyklisch über die ENISA-Website nach Art. 50 CSA.
4. Vereinbaren Sie vertraglich, dass der Anbieter Sie über Widerruf, Nichtverlängerung und sicherheitsrelevante Änderungen am zertifizierten Produkt unverzüglich informiert.
5. Behandeln Sie das Zertifikat als Eingangsgröße der eigenen Risikobewertung, nicht als deren Ersatz: Integration, Konfiguration und Betrieb bleiben Ihre Verantwortung.
6. Prüfen Sie den zertifizierten Produktbestand für Ihre Produktkategorie über die Website nach Art. 50 CSA und formulieren Sie Beschaffungsanforderungen gestuft (gefordert, bevorzugt, kompensierbar), soweit die Prüfung das nahelegt; datieren Sie jede Marktannahme.

Relevante Normreferenzen

• Verordnung (EU) 2019/881 (CSA): Art. 50 (ENISA-Website zu Schemata und Zertifikaten), Art. 52 Abs. 1 (Stufe im Verhältnis zum Verwendungsrisiko), Art. 55 (ergänzende Cybersicherheitsangaben der Hersteller und Anbieter), Art. 56 Abs. 1 und 2 (Vermutungswirkung, Freiwilligkeit); primäre Rechtsquelle, EU-Recht mit Quellenangabe frei zitierbar.
• Durchführungsverordnung (EU) 2024/482 (EUCC): Art. 2 Nr. 3 und 8 (Evaluierungsgegenstand, AVA_VAN-Stufe), Art. 4 (Stufen), Art. 5 (Sicherheitsziel, Schutzprofil, Produktreihen), Art. 6 (keine Selbstbewertung), Art. 12 bis 14 (Geltungsdauer, Überprüfung, Widerruf), Art. 33 und 39 (Schwachstellen-Meldewege, Offenlegung); maßgeblich in der konsolidierten Fassung vom 29.12.2025.
• ISO/IEC 15408 beziehungsweise CC:2022: lizenzpflichtige Evaluierungsnormen, hier ausschließlich referenziert; für die Nachweisbewertung im Einkauf ist der Normerwerb nicht erforderlich, für eigene Zertifizierungsvorhaben schon (eu-cert-002).