EUCC-Zertifizierung: Zertifizierungsrahmen des Cybersecurity Act, Akteure und Freiwilligkeit

Problem in der Praxis

Um die EUCC-Zertifizierung herum kursieren zwei Verkürzungen, die Entscheidungen verzerren. Die erste ist das falsche Etikett "EU-Zertifizierung": Es suggeriert ein allgemeines EU-Zertifizierungsdach, unter das jedes Produkt und jeder Dienst gehört. Tatsächlich ist das EUCC ein einzelnes, produktbezogenes Schema innerhalb eines Rahmens, der mehrere Schemata vorsieht; weitere Schemata führt ENISA am Stand 05.08.2026 lediglich als Entwürfe (Draft Candidate Schemes). Die zweite Verkürzung ist die vermeintliche Pflicht: Aus der Existenz des Rahmens wird eine Zertifizierungspflicht abgeleitet, die Art. 56 Abs. 2 CSA gerade nicht enthält.

Dazu kommt ein Fassungsproblem: Der CSA von 2019 ist nicht unverändert. Die Verordnung (EU) 2025/37 vom 19.12.2024 hat ihn im Hinblick auf verwaltete Sicherheitsdienste geändert (ABl. L, 2025/37, 15.1.2025; Wirkung laut EUR-Lex-Dokumentseite zum 04.02.2025, konsolidierte Fassung 02019R0881-20250204). Wer mit der Originalfassung von 2019 argumentiert, verpasst unter anderem, dass der Rahmen seither auch verwaltete Sicherheitsdienste erfasst (Art. 46 Abs. 1 in der geänderten Fassung).

CISO-Einordnung

Der CSA ist seit dem 27.06.2019 in Kraft (EUR-Lex-Dokumentseite zu CELEX 32019R0881: "Date of effect: 27/06/2019"). Sein Titel III legt fest, wie ein europäisches Schema für die Cybersicherheitszertifizierung entsteht, wer es beaufsichtigt und was ein Zertifikat rechtlich bedeutet. Die Arbeitsteilung der Akteure:

• Die Europäische Kommission steuert über das fortlaufende Arbeitsprogramm der Union, welche Schemata vorbereitet werden (Art. 47 CSA), beauftragt die ENISA mit der Ausarbeitung (Art. 48, Art. 49 Abs. 1) und nimmt ein Schema per Durchführungsrechtsakt an (Art. 49 Abs. 7). Für das EUCC ist das die Durchführungsverordnung (EU) 2024/482.
• Die ENISA arbeitet das mögliche Schema aus, konsultiert dabei die Interessenträger (Art. 49 Abs. 3) und bewertet jedes angenommene Schema mindestens alle fünf Jahre (Art. 49 Abs. 8).
• Die Europäische Gruppe für die Cybersicherheitszertifizierung (ECCG), besetzt mit Vertretern der nationalen Behörden, berät Kommission und ENISA und gibt zu jedem möglichen Schema eine Stellungnahme ab (Art. 62 Abs. 1 bis 4).
• Jeder Mitgliedstaat benennt eine oder mehrere nationale Behörden für die Cybersicherheitszertifizierung, die die Einhaltung beaufsichtigen (Art. 58 Abs. 1); Aufsicht und eigene Zertifikatserteilung sind dabei strikt zu trennen (Art. 58 Abs. 3 und 4).
• Konformitätsbewertungsstellen stellen die Zertifikate aus; für die Vertrauenswürdigkeitsstufe "hoch" gelten Sonderregeln bis hin zur Ausstellung durch die nationale Behörde selbst (Art. 56 Abs. 4 bis 6).

Ein Schema kann für die erfassten Produkte, Dienste und Prozesse eine oder mehrere der Vertrauenswürdigkeitsstufen "niedrig", "mittel" oder "hoch" angeben; die Stufe muss in einem angemessenen Verhältnis zum Risiko der beabsichtigten Verwendung stehen (Art. 52 Abs. 1 CSA). Welche Stufen ein konkretes Schema tatsächlich nutzt, entscheidet das Schema selbst: Die EUCC-Zertifizierung kennt nur "mittel" und "hoch" (Art. 4 der DVO (EU) 2024/482, dazu eu-cert-002).

Was ein Zertifikat rechtlich bewirkt, steht in Art. 56 Abs. 1 CSA: Für zertifizierte IKT-Produkte, -Dienste und -Prozesse gilt die Vermutung der Einhaltung der Anforderungen des jeweiligen Schemas. Mehr nicht; insbesondere ersetzt das Zertifikat keine eigene Risikobewertung des Einsatzkontexts (dazu eu-cert-005). Zugleich hält sich der Gesetzgeber den Weg zur Pflicht offen: Die Kommission bewertet regelmäßig, ob ein angenommenes Schema durch Unionsrecht verbindlich vorgeschrieben werden soll (Art. 56 Abs. 3 CSA).

Abgrenzung zu den Nachbar-Tracks: Der cra-Track behandelt die unmittelbar geltenden Produktpflichten des Cyber Resilience Act, während hier das freiwillige Zertifizierungsverfahren steht, das der CRA künftig als Nachweisweg ausweisen kann (eu-cert-004). Der nis2-Track behandelt Betreiberpflichten für wesentliche und wichtige Einrichtungen, keine Produktzertifizierung. Der eidas-Track behandelt Vertrauensdienste und die EUDI-Wallet nach der eIDAS-Verordnung; ob und wie EUCC-Zertifikate dort praktisch nutzbar sind, ist nicht Gegenstand dieses Tracks. Der mvo-Track behandelt die Maschinenverordnung; dessen offene Frage, ob ein CSA-Schema für Art. 20 Abs. 9 MVO praktisch nutzbar ist, bleibt Sache des mvo-Tracks.

Umsetzungsperspektive

Für eine Anwenderorganisation ohne Herstellerrolle heißt Umsetzung vor allem: verstehen, was der Rahmen liefert und was nicht. Der Rahmen liefert einen EU-weit einheitlichen Maßstab je Schema samt behördlicher Aufsicht; er liefert keine Aussage, welche Produkte eine Organisation einsetzen muss. Eine Pflicht von Anwenderorganisationen, zertifizierte Produkte einzusetzen, enthält weder der CSA noch die EUCC-Durchführungsverordnung.

Für Hersteller und Anbieter ist die Perspektive eine andere: Die Zertifizierung ist freiwillig (Art. 56 Abs. 2 CSA), kann aber durch anderes Unionsrecht oder mitgliedstaatliches Recht verbindlich werden. Der konkret angelegte Pfad läuft über den Cyber Resilience Act, der die Kommission ermächtigt, für kritische Produkte eine Zertifizierungspflicht per delegiertem Rechtsakt anzuordnen (Art. 8 Abs. 1 CRA, Stand und Grenzen in eu-cert-004). Wer heute Produkte im Anwendungsbereich des CRA herstellt, sollte die EUCC-Zertifizierung deshalb als Option im Konformitätsplan führen, nicht als Pflicht.

Die maßgebliche Fassung des CSA ist die konsolidierte Fassung vom 04.02.2025 (02019R0881-20250204), die die Änderung durch die VO (EU) 2025/37 zu verwalteten Sicherheitsdiensten einarbeitet. Die auf EUR-Lex ausgewiesenen Berichtigungen des CSA betreffen andere Sprachfassungen, keine deutsche.

Typische Fehler

1. Das Schema als "EU-Zertifizierung" bezeichnen; der Rahmen des CSA ist das Dach, die EUCC-Zertifizierung ist ein einzelnes, produktbezogenes Schema darunter (Art. 46 CSA, DVO (EU) 2024/482).
2. Aus dem Zertifizierungsrahmen eine Zertifizierungspflicht ableiten; die Cybersicherheitszertifizierung ist freiwillig, sofern Unions- oder mitgliedstaatliches Recht nichts anderes bestimmt (Art. 56 Abs. 2 CSA).
3. Eine Pflicht von Anwenderorganisationen behaupten, zertifizierte Produkte einzusetzen; eine solche Pflicht enthält weder der CSA noch die EUCC-Durchführungsverordnung.
4. Entwurfs-Schemata als geltendes Recht behandeln; am Stand 05.08.2026 führt ENISA nur das EUCC als veröffentlichtes Schema, weitere als Draft Candidate Schemes, und dieser Stand ist eine Momentaufnahme der Herausgeberkommunikation.
5. Mit der CSA-Originalfassung von 2019 arbeiten und die Änderung durch die VO (EU) 2025/37 (verwaltete Sicherheitsdienste, Wirkung 04.02.2025) übersehen.
6. Aus den drei Stufen des Art. 52 Abs. 1 CSA schließen, jedes Schema biete alle drei Stufen an; die EUCC-Zertifizierung kennt nur "mittel" und "hoch" (Art. 4 der DVO (EU) 2024/482).

Risiken und Trade-offs

Der zentrale Trade-off ist das Timing gegenüber einer möglichen künftigen Verbindlichkeit. Heute ist die EUCC-Zertifizierung freiwillig; der CSA selbst legt aber in Art. 56 Abs. 3 fest, dass die Kommission regelmäßig bewertet, ob ein Schema verbindlich vorgeschrieben werden soll, und der CRA enthält eine konkrete Ermächtigung für kritische Produkte (Art. 8 Abs. 1 CRA). Ein Hersteller, der abwartet, spart die erheblichen Kosten einer Evaluierung, solange kein Kunde und kein Rechtsakt sie verlangt; er riskiert, bei einer Ausweisung oder Anordnung ohne Vorlauf in ein Verfahren zu müssen, dessen Kapazitäten (Prüfstellen, Zertifizierungsstellen) dann alle brauchen.

Für Anwenderorganisationen ist der Trade-off milder: Wer EUCC-Zertifikate in der Beschaffung verlangt, bekommt einen EU-weit einheitlichen, behördlich beaufsichtigten Nachweis, engt aber den Anbieterkreis auf die Produkte ein, für die ein Zertifikat vorliegt. Wie groß dieser Kreis ist, sagt dieser Artikel nicht: Der Umfang des zertifizierten Produktbestands wurde für ihn nicht erhoben und ist vor einer Beschaffungsvorgabe aktuell über die Website nach Art. 50 CSA zu prüfen (eu-cert-005).

Entscheidungspunkte

• Stellen wir Produkte im Anwendungsbereich des CRA her, für die eine künftige Ausweisung oder Pflichtzertifizierung (eu-cert-004) relevant werden kann?
• Wollen wir EUCC-Zertifikate als Kriterium in Beschaffung und Lieferantenbewertung führen, und ab wann (eu-cert-005)?
• Wer beobachtet bei uns die Fortentwicklung des Rahmens: neue Schemata, Änderungen am CSA, delegierte Rechtsakte des CRA?
• Welche Rolle spielt die nationale Behörde für die Cybersicherheitszertifizierung für uns, etwa als Adressat von Beschwerden über Zertifikate (Art. 63 Abs. 1 CSA)?

Praktische Empfehlungen

1. Verwenden Sie intern durchgehend die Bezeichnung "EUCC-Zertifizierung" für das Schema und "europäischer Zertifizierungsrahmen für die Cybersicherheit" für das Dach; das falsche Etikett "EU-Zertifizierung" erzeugt genau die Verbindlichkeits-Missverständnisse, die Art. 56 Abs. 2 CSA ausschließt.
2. Ordnen Sie Ihre eigene Rolle zu: Hersteller oder Anbieter (Zertifizierung als Option, künftige Pflicht möglich), Anwenderorganisation (Zertifikate als Beschaffungskriterium, keine Einsatzpflicht).
3. Arbeiten Sie mit der konsolidierten CSA-Fassung vom 04.02.2025 (02019R0881-20250204) und dokumentieren Sie den verwendeten Rechtsstand.
4. Kennzeichnen Sie ENISA-Aussagen wie "erstes verfügbares Schema" in eigenen Unterlagen als Herausgeberkommunikation mit Datum; sie können mit jedem neu angenommenen Schema veralten.
5. Verankern Sie die Beobachtung des Rahmens (neue Schemata, CRA-Rechtsakte) in Ihrem Regulatorik-Radar, statt sie fallweise zu recherchieren.

Relevante Normreferenzen

• Verordnung (EU) 2019/881 (Cybersecurity Act, CSA): ABl. L 151 vom 7.6.2019, in Kraft seit 27.06.2019; Titel III (Art. 46 ff.) schafft den europäischen Zertifizierungsrahmen für die Cybersicherheit; primäre Rechtsquelle, EU-Recht mit Quellenangabe frei zitierbar.
• Verordnung (EU) 2025/37: einzige Änderung des CSA, im Hinblick auf verwaltete Sicherheitsdienste (ABl. L, 2025/37, 15.1.2025; Wirkung zum 04.02.2025); konsolidierte CSA-Fassung 02019R0881-20250204.
• Durchführungsverordnung (EU) 2024/482: legt die EUCC-Zertifizierung als Schema fest (eu-cert-002, eu-cert-003).
• Verordnung (EU) 2024/2847 (Cyber Resilience Act): enthält die Verzahnung mit CSA-Schemata (eu-cert-004; Produktpflichten im cra-Track).