Die EU zertifiziert den Anruf nach dem Vorfall

Ein Entwurf, ein Septembertermin und ein einziges Leistungsprofil

Am 24. Juli hat die ENISA den Entwurf des europäischen Schemas für Managed Security Services, kurz EUMSS, zur öffentlichen Kommentierung gestellt. Juhan Lepassaar, der Exekutivdirektor der Agentur, fasste den Zweck in einem Satz zusammen: "Common baselines can guarantee a level of confidence in services offered." Die Konsultation läuft über das EU-Survey-Portal und endet am 13. September 2026.

Rechtsgrundlage ist Artikel 48 Absatz 1 des Cybersecurity Act in der Fassung der Verordnung (EU) 2025/37, die die Kommission am 15. Januar 2025 eigens beschlossen hat, um eine europäische Zertifizierung von Dienstleistungen und nicht nur von Produkten zu ermöglichen. Die Kommission beauftragte die ENISA am 25. April 2025 mit dem Kandidatenschema. Am 25. Juni 2025 folgte der Aufruf an Fachleute, am 13. Oktober 2025 die Auftaktsitzung der eigens gebildeten Ad-hoc-Arbeitsgruppe.

Was neun Monate später vorliegt, ist enger als das Mandat. Der Entwurf behandelt den vertikalen Bereich Incident Management Lifecycle und darin ein einziges Leistungsprofil: Incident Response.

Die fünf im Gesetz, die eine im Entwurf

Die Definition der Managed Security Services im geänderten Rechtsakt umfasst fünf Tätigkeiten: Sicherheitsüberwachung und Angriffserkennung, Reaktion auf Vorfälle, Penetrationstests, Sicherheitsaudits und Cybersicherheitsberatung. Das Entwurfsschema zertifiziert die zweite davon. Die übrigen vier sind nicht grundsätzlich ausgeschlossen, denn die Struktur ist ausdrücklich darauf angelegt, weitere Leistungsprofile aufzunehmen. In der ersten Fassung stehen sie aber nicht.

Diese Reihenfolge verdient einen Moment Aufmerksamkeit. Incident Response ist die Leistung, die Sie abrufen, wenn bereits etwas schiefgegangen ist. Sicherheitsüberwachung und Angriffserkennung ist die Leistung, die Sie jeden Monat bezahlen, damit es nicht dazu kommt. Ein Anbieter wird demnächst völlig zutreffend sagen können, er halte ein EU-Zertifikat für Managed Security Services, während der dauerhafte Teil seines Vertrags mit Ihnen nach diesem Schema nie geprüft wurde.

Das ist weniger eine Kritik an der Reihenfolge als eine Warnung davor, wie das Siegel gelesen wird. Zertifizierungszeichen reisen weiter und schneller als ihre Geltungsbereiche.

Warum basic und high nichts über die Plattform aussagen

Das Schema ist geschichtet aufgebaut. Eine horizontale Ebene legt Grundanforderungen fest, die für jeden darunter zertifizierten Managed Security Service gelten, eine vertikale Ebene trägt die Anforderungen des jeweiligen Leistungsprofils. Die horizontale Basis umfasst sicheres Dienst- und Plattformdesign, Bereitstellungs- und Übergangsmanagement, Verfügbarkeits- und Kontinuitätsmanagement, operatives Servicemanagement sowie kontinuierliche Verbesserung und Technologiepflege.

Es gibt drei Vertrauenswürdigkeitsstufen: basic, substantial und high. Das entscheidende Detail des Entwurfs ist, dass diese horizontalen Grundanforderungen für jedes zertifizierte Leistungsprofil zwingende Voraussetzung sind und auf allen drei Stufen gleich lauten. Die Stufe variiert also die vertikale Ebene, nicht das Fundament. Im Klartext: Ein auf high zertifizierter Anbieter hat mehr darüber nachgewiesen, wie er einen Incident-Response-Einsatz führt, und genau so viel wie ein Anbieter auf basic darüber, wie seine Plattform gestaltet und verfügbar gehalten wird.

Achtzehn Monate bis zum Entwurf, und der Ankerkunde ist Brüssel

Rechnen Sie den Kalender nach. Von der Rechtsgrundlage am 15. Januar 2025 bis zum kommentierbaren Entwurf am 24. Juli 2026 sind es achtzehn Monate. Die Kommentierung endet am 13. September, danach folgt die Annahme. Anbieter, die die EU-Cybersicherheitsreserve beliefern, haben anschließend zwei Jahre ab Inkrafttreten Zeit, das Zertifikat vorzuweisen.

Dieser letzte Halbsatz ist der eigentliche Mechanismus, und er gehört genau benannt. Für den privaten Markt ist das Schema freiwillig. Für Anbieter, die die eigene Reserve der EU an Incident-Response-Kapazität beliefern, ist es das nicht. Die EU hat sich selbst zum Ankerkunden gemacht und das Siegel für alle anderen optional gelassen. Das ist der übliche Weg, auf dem ein freiwilliges Schema zur faktischen Ausschreibungsbedingung wird, ohne dass jemand sie gesetzlich anordnet. Rechnen Sie damit, dass EUMSS als Bewertungskriterium in öffentlichen Vergaben auftaucht, lange bevor es vollständig ist.

Was Sie Ihren Dienstleister vor dem 13. September fragen sollten

Drei Punkte lohnen sich jetzt. Erstens: Fragen Sie, gegen welches Leistungsprofil sich Ihr Anbieter zertifizieren lassen will und ob die Leistung, die Sie tatsächlich einkaufen, darin enthalten ist. Lautet Ihr Vertrag auf Überwachung und Erkennung, ist die ehrliche Antwort heute nein. Zweitens: Fragen Sie, welche Vertrauenswürdigkeitsstufe angestrebt wird, und lassen Sie sich erklären, was das ändert, wo doch die Basis zwischen den Stufen unverändert bleibt.

Drittens: Behandeln Sie die Konsultation als offenen Einflusskanal und nicht als Bekanntmachung. Die Kommentierung endet am 13. September, und offen ist genau der Umfang der ersten Fassung. Einkäufer sind in solchen Konsultationen gegenüber Anbietern und Konformitätsbewertungsstellen durchweg unterrepräsentiert. In Deutschland führt das BSI bereits eine Liste qualifizierter APT-Response-Dienstleister für genau diese Arbeit, sodass ein deutscher Anbieter künftig eine nationale Qualifizierung und ein europäisches Zertifikat nebeneinander führen wird. Die Lieferkettenpflicht aus NIS2 liegt ohnehin bei Ihnen, weshalb Sie den Geltungsbereich dieses Schemas nicht an einen Lieferanten delegieren können.

Weiterlesen: Europa prüft KI-Spitzenmodelle jetzt selbst  |  Ein souveräner Anbieter lizenziert seinen Code zurück