EUCC-Zertifizierung: Übergang von SOG-IS und nationalen Schemata, Fristen und Fortgeltung

Problem in der Praxis

Übergangsregelungen werden in der Praxis regelmäßig strenger wiedergegeben, als sie sind. Aus "nationale Schemata werden unwirksam" wird "Altzertifikate sind ungültig", aus der Kann-Regel zur Überprüfung eine Ersetzungspflicht, aus dem Enddatum der Altnormen-Nutzung ein Verfallsdatum für bestehende Zertifikate. Jede dieser Verschärfungen erzeugt unnötige Beschaffungs- und Nachzertifizierungsdruck: Ein Einkauf, der SOG-IS-Zertifikate pauschal als wertlos behandelt, verwirft gültige Nachweise; ein Hersteller, der eine Ersetzungspflicht annimmt, budgetiert Verfahren, die niemand verlangt.

Die Gegenrichtung existiert auch: Wer die Zeitachse ignoriert, plant Zertifizierungsvorhaben in Fenster, die geschlossen sind. Neue nationale Zertifizierungsprozesse für Produkte im EUCC-Anwendungsbereich sind seit dem 27.02.2025 nicht mehr möglich, und die Abschlussfrist für die zuvor noch eingeleiteten Prozesse ist am 27.02.2026 abgelaufen; beide Fenster sind am Stand dieses Artikels (05.08.2026) geschlossen. Bei der Herkunft der Daten ist zu unterscheiden: Der 27.02.2025 steht als Kalenderdatum in Art. 50 Abs. 2 der DVO und ist für Art. 49 Abs. 1 zusätzlich aus "12 Monate nach dem Inkrafttreten" errechnet; der 27.02.2026 steht nicht im Rechtstext, sondern folgt allein aus den "24 Monaten" des Art. 49 Abs. 2. Wer zitiert, sollte den Rechenweg kennen.

Hintergrund der Ablösung: Das SOG-IS-Abkommen war ein Anerkennungsabkommen einer Gruppe von Staaten über die gegenseitige Anerkennung von IT-Sicherheitsbewertungszertifikaten (Erwägungsgrund 1 der DVO); ENISA beschreibt das EUCC als auf dem in 17 EU-Mitgliedstaaten genutzten SOG-IS-Common-Criteria-Rahmen aufbauend (Herausgeberkommunikation, Stand 05.08.2026). Die EUCC-Zertifizierung ersetzt diese Konstruktion durch ein EU-weit unmittelbar geltendes Schema mit einheitlicher Aufsicht (eu-cert-001).

CISO-Einordnung

Die Zeitachse mit Fundstellen und Rechenwegen:

• 27.02.2024, Inkrafttreten: Die DVO (EU) 2024/482 wurde am 7.2.2024 im Amtsblatt veröffentlicht und trat am zwanzigsten Tag danach in Kraft (Art. 50 Abs. 1; EUR-Lex-Dokumentseite: "Date of effect: 27/02/2024"). Kapitel IV (Konformitätsbewertungsstellen) und Anhang V galten bereits ab Inkrafttreten (Art. 50 Abs. 3), damit sich Prüf- und Zertifizierungsstellen vor dem Geltungsbeginn aufstellen konnten.
• 27.02.2025, Geltungsbeginn und Schemawechsel: Die Verordnung gilt ab dem 27.02.2025 (Art. 50 Abs. 2, Kalenderdatum im Rechtstext). Nationale Systeme für die Cybersicherheitszertifizierung und die zugehörigen Verfahren für IKT-Produkte und -Prozesse, die unter das EUCC-System fallen, wurden "12 Monate nach dem Inkrafttreten der vorliegenden Verordnung unwirksam" (Art. 49 Abs. 1 der DVO in Verbindung mit Art. 57 Abs. 1 CSA); bei Inkrafttreten am 27.02.2024 ist das rechnerisch der 27.02.2025. Bis zu diesem Zeitpunkt konnte ein nationaler Zertifizierungsprozess noch eingeleitet werden (Art. 49 Abs. 2, Zwölfmonatsfenster).
• 27.02.2026, Abschlussfrist: Noch national eingeleitete Zertifizierungsprozesse mussten spätestens 24 Monate nach dem Inkrafttreten abgeschlossen sein (Art. 49 Abs. 2), rechnerisch bis zum 27.02.2026. Dieses Fenster ist geschlossen.
• 31.12.2027, Ende der Altnormen-Nutzung: Bis zum 31.12.2027 kann ein Zertifikat im Rahmen des EUCC-Systems noch nach den Altfassungen der Evaluierungsnormen ausgestellt werden, namentlich ISO/IEC 15408-1:2009, -2:2008, -3:2008 beziehungsweise CC 3.1 Revision 5 und ISO/IEC 18045:2008 beziehungsweise CEM 3.1 Revision 5 (Art. 3 Abs. 2 der DVO in der Fassung der DVO (EU) 2024/3144). Das ist eine erlaubende Regelung für Neuausstellungen, kein Verfallsdatum für bestehende Zertifikate. Der Stichtag ist keine ausnahmslose Grenze. Drei Vorschriften stehen daneben. Nach Art. 3 Abs. 3 kann bis zum selben Tag ein Zertifikat nach den aktuellen Normen des Art. 3 Abs. 1 ausgestellt werden, das Konformität mit einem Schutzprofil geltend macht, das den Altfassungen entspricht. Nach Art. 3 Abs. 4 ist ein Zertifikat nach den aktuellen Normen ohne genannten Endtermin möglich, das Konformität mit einem Schutzprofil nach CC beziehungsweise CEM 3.1 Revision 1 bis 4 geltend macht, sofern die Durchführungsverordnung (EU) 2016/799, die Verordnung (EU) Nr. 910/2014 oder der Durchführungsbeschluss (EU) 2016/650 die Verwendung eines solchen Schutzprofils verlangt; das Zertifikat selbst folgt auch dann den aktuellen Normen. Und nach Art. 49 Abs. 4 duerfen die Normen des Art. 3 Abs. 2 angewandt werden, wenn drei Voraussetzungen zusammentreffen: eine Überprüfung nach Art. 49 Abs. 3, durchgeführt innerhalb von zwei Jahren nach Ausstellung des ersten Zertifikats, die zur Ausstellung eines neuen Zertifikats nach der DVO führt. Als Ausstellungsdatum des ersten Zertifikats gilt nach Satz 2 das Datum des letzten Zertifikats für das IKT-Produkt oder Schutzprofil, auf dem die gegenwärtige Zertifizierung beruht; die Vorschrift nennt keinen Kalenderstichtag.

Für Bestandszertifikate gilt: Vorhandene Zertifikate aus nationalen Schemata, die unter ein europäisches Schema fallen, bleiben bis zum Ende ihrer Geltungsdauer gültig (Art. 57 Abs. 3 CSA). Sie können einer Überprüfung unterzogen werden; neue Zertifikate, die die überprüften ersetzen, werden nach der DVO ausgestellt (Art. 49 Abs. 3). Die DVO (EU) 2024/3144 hat dafür einen Absatz 4 ergänzt: Führt eine Überprüfung nach Absatz 3, durchgeführt innerhalb von zwei Jahren nach der Ausstellung eines ersten Zertifikats, zur Ausstellung eines neuen Zertifikats nach der DVO, so können die Altnormen des Art. 3 Abs. 2 angewandt werden. Als Ausstellungsdatum des ersten Zertifikats gilt nach Satz 2 das Datum des letzten Zertifikats für das IKT-Produkt oder Schutzprofil, auf dem die gegenwärtige Zertifizierung beruht. Alles daran ist Kann-Recht; eine Pflicht zur Überprüfung oder Ersetzung enthält weder der CSA noch die DVO.

Nationale Schemata außerhalb des EUCC-Anwendungsbereichs bleiben bestehen (Art. 57 Abs. 1 Satz 2 CSA), und die Mitgliedstaaten führen keine neuen nationalen Schemata für Produkte ein, die unter ein geltendes europäisches Schema fallen (Art. 57 Abs. 2 CSA).

Nicht Gegenstand dieses Artikels ist die deutsche Zertifizierungspraxis: Der Status des BSI als Zertifizierungsstelle oder nationale Behörde und der Bestand deutscher Altzertifikate wurden für diesen Track nicht an Primärquellen erhoben; Aussagen dazu wären ungedeckt. Abgrenzung zu den Nachbar-Tracks: Der it-grundschutz-Track behandelt die BSI-Methodik, nicht die Produktzertifizierung; der cra-Track behandelt die CRA-Übergangsfristen für Produktpflichten, die von der hiesigen Zeitachse unabhängig laufen.

Umsetzungsperspektive

Für Anwenderorganisationen ist der Übergang vor allem eine Bewertungsfrage im Einkauf und im Bestand: Ein vor dem Schemawechsel ausgestelltes nationales Zertifikat (etwa aus einem SOG-IS-Schema) ist nicht dadurch entwertet, dass das ausstellende Schema unwirksam geworden ist; es gilt bis zum Ende seiner Geltungsdauer (Art. 57 Abs. 3 CSA). Wer Produktnachweise inventarisiert, sollte je Zertifikat drei Angaben erfassen: ausstellendes Schema, Geltungsdauer, und ob der Inhaber eine Überprüfung nach Art. 49 Abs. 3 der DVO anstrebt. Auslaufende Altzertifikate können nur noch im EUCC-System ersetzt werden.

Für Hersteller mit laufenden oder geplanten Vorhaben ist die Zeitachse Planungsgrundlage: Neue Verfahren laufen seit dem 27.02.2025 ausschließlich im EUCC-System; die Wahl zwischen den 2022er-Normfassungen und den bis 31.12.2027 zulässigen Altfassungen ist mit Zertifizierungsstelle und ITSEF zu treffen (Art. 3 Abs. 2, zu den Ausnahmen des Art. 3 Abs. 3 und 4 und des Art. 49 Abs. 4 oben; eu-cert-002). Wer heute noch auf Altfassungen startet, sollte das Enddatum der Übergangsregel gegen die erwartete Verfahrensdauer halten.

Alle vier Zeitmarken dieses Artikels sind an der Primärquelle belegt oder als errechnet gekennzeichnet; bei Weitergabe in interne Unterlagen gehört die Kennzeichnung mitgeführt. Dabei ist zu unterscheiden: Der 27.02.2025 steht als Kalenderdatum im Rechtstext (Art. 50 Abs. 2: "Sie gilt ab dem 27. Februar 2025") und ist zusätzlich für das Unwirksamwerden nationaler Schemata nach Art. 49 Abs. 1 errechnet. Der 27.02.2026 steht nicht als Kalenderdatum im Rechtstext, sondern folgt aus den "24 Monaten nach dem Inkrafttreten" des Art. 49 Abs. 2.

Typische Fehler

1. SOG-IS- oder nationale Altzertifikate für ungültig erklären; Art. 57 Abs. 3 CSA sagt das Gegenteil: Sie bleiben bis zum Ende ihrer Geltungsdauer gültig.
2. Eine Pflicht zur Überprüfung oder Ersetzung von Altzertifikaten behaupten; Art. 49 Abs. 3 der DVO ist eine Kann-Regel.
3. Das Datum 31.12.2027 als Verfallsdatum bestehender Zertifikate lesen; es beendet nur die Moeglichkeit, neue Zertifikate nach den Altfassungen der Evaluierungsnormen auszustellen (Art. 3 Abs. 2 der DVO), und auch das nicht ausnahmslos: Art. 3 Abs. 3 und 4 und Art. 49 Abs. 4 stehen daneben.
4. Die Herkunft der beiden Daten verwechseln. Fuer die Fristen des Art. 49 Abs. 1 und 2 der DVO stehen im Text "12 Monate" und "24 Monate nach dem Inkrafttreten"; das Inkrafttreten am 27.02.2024 ist belegt, die Tagesdaten sind insoweit Rechenergebnis. Der 27.02.2025 steht daneben aber ausdruecklich als Kalenderdatum in Art. 50 Abs. 2 der DVO; nur der 27.02.2026 ist ausschliesslich errechnet.
5. Nach dem 27.02.2025 noch nationale Zertifizierungsverfahren für Produkte im EUCC-Anwendungsbereich einplanen; das Einleitungsfenster ist zu, die Abschlussfrist 27.02.2026 ebenfalls abgelaufen.
6. Aussagen zur deutschen Praxis (BSI-Rollen, Bestand deutscher Altzertifikate) aus diesem Artikel ableiten; sie wurden hier nicht erhoben und sind an BSI-Primärquellen zu prüfen.

Risiken und Trade-offs

Für Bestandshalter besteht der Trade-off zwischen Ruhe und Anschlussfähigkeit: Ein gültiges Altzertifikat auslaufen zu lassen ist rechtlich unbedenklich und kostenfrei, lässt aber am Laufzeitende eine Nachweislücke entstehen, wenn der Ersatz im EUCC-System nicht rechtzeitig beauftragt wurde. Die freiwillige Überprüfung nach Art. 49 Abs. 3 der DVO holt den Nachweis früher ins neue System, kostet aber ein Verfahren, das niemand verlangt. Welche Seite überwiegt, hängt an Laufzeit, Kundenanforderungen und der erwarteten Auslastung der Prüfkapazitäten; eine pauschale Empfehlung wäre kategorischer als die Quelle.

Für Einkäufer liegt das Risiko in beiden Extremen: Wer Altzertifikate pauschal ablehnt, verwirft gültige Nachweise und verengt den Markt ohne Rechtsgrund; wer sie unbesehen akzeptiert, übersieht, dass ein Altzertifikat den Stand seines Ausstellungszeitpunkts belegt und am Laufzeitende nicht im alten Schema erneuert werden kann. Sachgerecht ist die Bewertung je Zertifikat entlang Geltungsdauer und Anschlussplan des Herstellers (eu-cert-005).

Entscheidungspunkte

• Welche Produkte in unserem Bestand oder in laufenden Beschaffungen tragen nationale Altzertifikate, und wann laufen diese ab?
• Verlangen wir von Lieferanten einen Anschlussplan für auslaufende Altzertifikate (Ersatz im EUCC-System, Überprüfung nach Art. 49 Abs. 3 der DVO)?
• Falls wir selbst Zertifikatsinhaber sind: Lassen wir Altzertifikate auslaufen oder streben wir die Überführung ins EUCC-System an, und auf welcher Normfassung?
• Wer hält bei uns die Zeitmarke 31.12.2027 nach und prüft rechtzeitig, ob laufende Vorhaben auf Altfassungen noch vor dem Stichtag abgeschlossen werden können?

Praktische Empfehlungen

1. Inventarisieren Sie produktbezogene Zertifikate mit Schema, Geltungsdauer und Normfassung; behandeln Sie gültige Altzertifikate als das, was sie sind: gültige Nachweise mit Ablaufdatum (Art. 57 Abs. 3 CSA).
2. Übernehmen Sie die Zeitachse (27.02.2024 / 27.02.2025 / 27.02.2026 / 31.12.2027) in Ihr Fristenregister. Kennzeichnen Sie den 27.02.2026 als Rechenergebnis mit Rechenweg; beim 27.02.2025 fuehren Sie beide Herkuenfte mit, weil er in Art. 50 Abs. 2 der DVO als Kalenderdatum steht und fuer Art. 49 Abs. 1 zusaetzlich errechnet ist.
3. Formulieren Sie Beschaffungsanforderungen erlaubend statt verschärfend: kein pauschaler Ausschluss von Altzertifikaten, sondern Anforderungen an Restlaufzeit und Anschlussplan.
4. Klären Sie bei eigenen Vorhaben auf Altnormfassungen mit der Zertifizierungsstelle, ob der Abschluss vor dem 31.12.2027 realistisch ist, und planen Sie andernfalls direkt auf den 2022er-Fassungen (eu-cert-002).
5. Prüfen Sie Aussagen zur deutschen Zertifizierungspraxis vor Verwendung an BSI-Primärquellen; dieser Track trifft dazu bewusst keine Aussage.

Relevante Normreferenzen

• Durchführungsverordnung (EU) 2024/482 (EUCC): Art. 3 Abs. 2 (Übergangsnutzung der Altnormen bis 31.12.2027, i.d.F. DVO (EU) 2024/3144), Art. 3 Abs. 3 und 4 (Bezug auf Schutzprofile nach Altfassungen, Abs. 4 ohne Endtermin), Art. 49 (nationale Systeme, Übergangsfenster, Überprüfung, Abs. 4 mit Altnormen binnen zwei Jahren), Art. 50 (Inkrafttreten 27.02.2024, Geltung ab 27.02.2025), Erwägungsgrund 1 (SOG-IS-Grundlage); maßgeblich in der konsolidierten Fassung vom 29.12.2025.
• Durchführungsverordnung (EU) 2024/3144: ersetzt Art. 3 und ergänzt Art. 49 Abs. 4 (Wirkung zum 08.01.2025).
• Verordnung (EU) 2019/881 (CSA): Art. 57 Abs. 1 bis 3 (Unwirksamwerden nationaler Schemata, keine neuen nationalen Schemata, Fortgeltung vorhandener Zertifikate).
• ISO/IEC 15408 / CC und ISO/IEC 18045 / CEM in den in Art. 3 der DVO genannten Fassungen: lizenzpflichtige Evaluierungsnormen, hier ausschließlich als Fassungsbezeichnungen referenziert.