ENISA-Bericht 2026 und die neue EU-Cybersicherheitsgesetzgebung: Einordnung für die Praxis

Am 10. November 2026 hat ENISA den zweiten Bericht zum Stand der Cybersicherheit in der Union veröffentlicht. Der Bericht ist gesetzlich vorgeschrieben (Artikel 18 der NIS2-Richtlinie) und wurde gemeinsam mit der Europäischen Kommission und der NIS-Kooperationsgruppe verabschiedet. Er deckt den Zeitraum Juli 2024 bis Juli 2026 ab und richtet sich primär an das Europäische Parlament; für Unternehmen und Dienstleister ist er zugleich eine der verlässlichsten Wegmarken dafür, welche Erwartungen die Aufsicht in den nächsten zwei bis drei Jahren formulieren wird.

Zusammenfassung des ENISA-Berichts 2026

Die zentralen Aussagen lassen sich wie folgt bündeln:

• Bedrohungslage: Das EU-Bedrohungsniveau bleibt auf "substantiell". Das bedeutet, dass unmittelbare Angriffe auf betroffene Einrichtungen oder deren Ausnutzung über neu entdeckte Schwachstellen wahrscheinlich sind und ernsthafte Störungen wesentlicher Dienste eine realistische Möglichkeit darstellen. Dass das Niveau trotz intensivierter geopolitischer Konflikte nicht angehoben wurde, ist als nachlaufender Indikator zu lesen, nicht als Entwarnung.

• Reifegrad: Der neue EU Cybersecurity Index (EU-CSI) weist einen EU-Durchschnitt von 71,53 von 100 Punkten aus. ENISA liest das als Konvergenz in Richtung eines reifen Gesamtposture, verweist aber zugleich auf ungleiche nationale Kapazitäten.

• Künstliche Intelligenz als Querschnittsthema: KI wird als Kraftmultiplikator konventioneller Angriffe beschrieben, von überzeugendem Phishing über Malware-Entwicklung bis zur Reconnaissance. Frontier-Modelle "industrialisieren" die Schwachstellensuche; das Zeitfenster zwischen Offenlegung und Waffenisierung einer Schwachstelle ("Window of Exposure") nähert sich nach Einschätzung von ENISA null an.

• Schwachstellenmanagement als Engpass: Triage, Priorisierung, koordinierte Disclosure und Remediation sind nach dem Bericht inzwischen kritischere Engpässe als die Entdeckung selbst. ENISA warnt zudem vor Risiken autonomen Patchens und der Verifikation KI-generierter Fixes.

• Investitionen: 70 Prozent der Organisationen nennen regulatorische Compliance als Haupttreiber ihrer Cybersicherheitsinvestitionen.

• Strategischer Kompass: Neu in dieser Auflage ist ein "strategischer Kompass" mit fünf Richtungen: wirksame Umsetzung, operative Krisenkapazität, Resilienz kritischer Infrastruktur, Risiken und Abhängigkeiten auf EU-Ebene sowie langfristige gesellschaftliche Resilienz. Jede Richtung ist mit konkreten Handlungsempfehlungen verbunden, unter anderem Null-Trust-Baselines, belastbare Incident-Response-Fähigkeiten und klare Eskalationspfade für KI-beschleunigte Vorfälle in jährlichen Audits kritischer Infrastruktur.

Der Bericht ordnet sich in ein dichtes politisches Umfeld ein: Die Meldepflichten der Cyber Resilience Act laufen seit dem 11. September 2026 (volle Anwendbarkeit am 11. Dezember 2027), im Januar 2026 hat die Kommission den Entwurf eines Cybersecurity Act 2 vorgelegt, im Juli 2026 folgte der EU-Aktionsplan zu Cybersicherheit und KI, und parallel läuft die Vereinfachungsinitiative "Digital Omnibus".

Bedeutung für die Angebote von Zempel IT Security

Für uns als Dienstleister ergeben sich aus dem Bericht fünf direkte Ableitungen:

1. Schwachstellen- und Patchmanagement als Kernprodukt: Wenn Triage und Remediation der Engpass sind und das Zeitfenster bis zur Ausnutzung gegen null läuft, ist ein strukturiertes Vulnerability-Management mit priorisierten Patch-Zyklen kein "Nice to have" mehr, sondern das Rückgrat jedes NIS2-konformen Risikomanagements. Unser Ansatz muss entsprechend geschärft werden, insbesondere bei der Priorisierung nach Ausnutzungsrisiko statt nur nach CVSS-Score.

2. KI-spezifische Incident-Response: Der Bericht erwartet explizit Eskalationspfade für KI-beschleunigte Vorfälle. Wir sollten unsere Incident-Response-Leistungen um Szenarien erweitern, in denen Angriffe in Stunden statt Tagen ablaufen, und Kunden bei der Definition entsprechender Eskalationsketten und Bereitschaftsmodelle unterstützen.

3. Lieferkettensicherheit: Der EU-CSI-Subindikator für Lieferketten-Praktiken wesentlicher und wichtiger Einrichtungen liegt mit rund 90 Punkten auf hohem Niveau; Aufsichten werden hier Reife erwarten. Third-Party-Risk-Assessments, Lieferanten-Audits und die Bewertung von Cloud- und KI-Anbietern sind bereits heute ein tragendes Element unseres Portfolios und werden weiter an Bedeutung gewinnen.

4. Beratung zur Regulatorik-Konsolidierung: Mit CSA2, NIS2-Novelle, Digital Omnibus und CADA entsteht ein erheblicher Abstimmungsbedarf. Wer heute NIS2- oder DORA-Meldeprozesse aufgebaut hat, muss diese an den geplanten EU-einheitlichen Meldeportal-Ansatz anpassen. Genau hier liegt ein Beratungsbedarf, den wir als Managed-Security- und Compliance-Dienstleister strukturiert bedienen können.

5. Mittelstand im Fokus: ENISA geht davon aus, dass kleinere Organisationen die KI-gestützten Test- und Verifikationskapazitäten größerer Akteure nicht werden halten können. Unser Managed-Service-Modell für KMU ist damit genau die Antwort auf eine Lücke, die der Bericht selbst benennt.

Kurz gesagt: Der Bericht bestätigt unsere strategische Ausrichtung. Die Nachfrage wird sich von reinen Compliance-Checklisten hin zu operativer Resilienz, automatisiertem Schwachstellenmanagement und KI-fähiger Incident-Response verlagern. Unsere Angebote sollten diese Verschiebung aktiv aufgreifen.

Aktueller Stand und angestrebter Inhalt der EU-Gesetzesinitiativen

Cybersecurity Act 2 (CSA2)

Die Kommission hat am 20. Januar 2026 einen Verordnungsentwurf vorgelegt (COM(2026) 11), der die bestehende Cybersecurity-Act-Verordnung (EU) 2019/881 ersetzen soll. Angestrebt sind drei Blöcke: ein überarbeitetes europäisches Zertifizierungsframework, das Zertifizierungen beschleunigen, verbreitern und EU-weit besser nutzbar machen soll; ein neues horizontales Rahmenwerk für die Sicherheit von ICT-Lieferketten mit der Möglichkeit, Hochrisiko-Lieferanten aus kritischen Bereichen auszuschließen; sowie eine gestärkte ENISA mit erweiterten Befugnissen, unter anderem beim Erarbeitern technischer Spezifikationen. Bei Verstößen gegen Lieferketten-Pflichten drohen Bußgelder von bis zu 7 Prozent des weltweiten Jahresumsatzes. Der Entwurf befindet sich derzeit im Trilog zwischen Rat und Parlament; verabschiedet ist er noch nicht.

Digital Networks Act (DNA)

Am 21. Januar 2026 hat die Kommission den Entwurf einer Digital-Networks-Act-Verordnung (COM(2026) 16) vorgelegt. Ziel ist die Modernisierung des Rechtsrahmens für elektronische Kommunikationsnetze: Beschleunigung des Glasfaser- und 5G-Ausbaus, pan-Europäische Satellitendienste, Vereinfachung der Zulassungsverfahren und eine stärker zentralisierte Regulierung im Sinne des Draghi-Berichts. Aus Sicherheitssicht relevant sind die Vorgaben zu digitaler Resilienz und Sicherheit der Netze sowie Anforderungen an Betreiber, unter anderem EU-Niederlassung, hohes Sicherheitsniveau und die Möglichkeit von Datenrettung und rechtmäßiger Überwachung. Im Rat wird seit Frühjahr 2026 beraten; Mitgliedstaaten kritisieren insbesondere den Maximalharmonisierungsansatz, der nationale Spielräume einschränken würde.

Digital Omnibus

Das am 19. November 2025 vorgelegte Digital-Omnibus-Paket (COM(2025) 837) ist kein einzelnes Gesetz, sondern ein Vereinfachungspaket in zwei Teilen: Ein "AI Omnibus" zur Verschiebung von Hochrisiko-Fristen der KI-Verordnung wurde vom Rat am 29. Juni 2026 angenommen und ist in Kraft. Der "Data Omnibus" ändert DSGVO, ePrivacy-Richtlinie, Data Act, NIS2 und DORA und befindet sich weiterhin in Verhandlung zwischen Parlament und Rat. Für die Cybersicherheit ist zentral: Die NIS2-Meldeverfahren (Artikel 23 und 30) sollen über ein einzelnes EU-weites Meldeportal gebündelt werden, das von ENISA betrieben und an die zuständigen Behörden weitergeleitet wird; analog ist ein EU-einheitlicher Einstiegspunkt für Datenpannenmeldungen vorgesehen. Die inhaltlichen Pflichten aus Artikel 21 NIS2 bleiben unangetastet.

NIS2-Novellen

Auf die technischen Anpassungen im Digital Omnibus folgte am 20. Januar 2026 ein eigenständiger Kommissionsvorschlag für gezielte NIS2-Änderungen als Teil des Cybersicherheitspakets. Angestrebt sind: Klärung und Eingrenzung des Anwendungsbereichs, sektorale Schwellenwerte, Harmonisierung der Anwendung über die Mitgliedstaaten hinweg (unter anderem gegen "Gold-Plating") und eine Verringerung des Compliance-Aufwands, bei gleichzeitiger Beibehaltung der Kernpflichten zu Risikomanagement und Meldung wesentlicher Vorfälle. Bemerkenswert: Eine bestehende Cybersicherheitszertifizierung soll als anerkannte Compliance-Maßnahme gelten, so dass Aufsichtsbehörden bei zertifizierten Organisationen auf Prüfungen und Audits zu verzichten hätten. Die Texte sind noch nicht finalized; mit einer Fertigstellung wird frühestens 2027 gerechnet.

Cloud and Artificial Intelligence Development Act (CADA)

Die Kommission hat den Verordnungsvorschlag für den Cloud and AI Development Act am 3. Juni 2026 angenommen (COM(2026) 502). Ziel ist der Aufbau eines leistungsfähigen, souveränen Cloud- und KI-Ökosystems in der EU: Ausbau von Rechenkapazitäten und KI-Fabriken, Investitionsanreize, Maßnahmen gegen Marktkonzentration bei Cloud-Anbietern aus Drittländern und Sicherheitsanforderungen für Cloud-Dienste, die für sensible Workloads in Betracht kommen. Der Vorschlag ergänzt den AI Act und steht im Kontext der DMA-Marktuntersuchungen zu Cloud-Diensten. Er befindet sich nunmehr im ordentlichen Gesetzgebungsverfahren.

Fazit

Der ENISA-Bericht 2026 und die parallel laufenden Gesetzgebungsverfahren zeichnen ein konsistentes Bild: Die Pflichten bleiben, die Verfahren werden gebündelt und vereinfacht, und der operative Druck durch KI-beschleunigte Angriffe nimmt zu. Für Organisationen in Deutschland bedeutet das: Wer NIS2-Prozesse bereits aufgebaut hat, sollte diese jetzt auditfest und an die geplanten gemeinsamen Meldeinfrastrukturen anpassbar gestalten. Wer noch am Anfang steht, kann die Vereinfachungen nutzen, sollte aber nicht auf eine Entschärfung der Pflichten setzen.

Wir unterstützen Sie bei der Bewertung Ihres aktuellen Reifegrads, beim Aufbau wirksamen Schwachstellen- und Patchmanagements sowie bei der Vorbereitung auf die kommenden Anforderungen aus CSA2, NIS2-Novelle und Digital Omnibus. Sprechen Sie uns an.

Quellen: ENISA-Pressemitteilung, Cloud Security Alliance zum Bericht, Gleiss Lutz zu CSA2, Legislative Train DNA, Legislative Train Digital Omnibus, Reed Smith zu NIS2-Novellen, Kommission zu CADA.