EU-weite Einigung über den Cyber Certification Act

Die EU-Mitgliedstaaten schaffen damit zudem Klarheit in der Diskussion um die Möglichkeit einer 'Selbstzertifizierung' durch Hersteller und Betreiber. Diese haben zwar mit der neuen Regelung die Möglichkeit, ihre Produkte selbst zu bewerten. Allerdings sind diese Verfahren von einer eigentlichen Zertifizierung nach CCA durch unabhängige Stellen präzise abgegrenzt. Die Möglichkeit der Selbstbewertung soll nur für ITK-Produkte und Dienstleistungen 'eines niedrigen Risikos' (Vertrauenswürdigkeitsstufe 'gering') erlaubt sein. Eine europäische Cybersicherheits-Zertifizierung bei Vertrauenswürdigkeitsstufen 'mittel' und 'hoch' soll damit unabhängigen Stellen vorbehalten sein.

Der Rechtsakt zur Cybersicherheit wurde von der Kommission im September 2017 als Teil eines umfassenden Maßnahmepakets zur Bewältigung von Cyberangriffen und zum Aufbau einer starken Cybersicherheit in der EU vorgeschlagen. Der Europäische Rat wird nach der Abstimmung im Parlament Mitte Juni zusammen mit der EU-Kommission im 'Trilogverfahren' den Verordnungsvorschlag weiter verhandeln. Ziel ist, bis Ende des Jahres eine Einigung aller EU-Institutionen zu erreichen, damit der Cybersecurity Act noch vor den Europawahlen im Mai 2019 angenommen wird. Mit dieser Einigung einher geht die Umwandlung der Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) in eine EU-Agentur für Cybersicherheit.