ENISA – Rolle, Entwicklung und Aufgaben

ENISA wurde 2004 gegründet, um die Netz- und Informationssicherheit in der EU zu stärken. Mit dem Cybersecurity Act (CSA) von 2019 erhielt die Agentur ein dauerhaftes Mandat und einen deutlich erweiterten Aufgabenbereich. Heute umfasst dieser:

  • Unterstützung bei der Entwicklung und Umsetzung von EU‑Cybersicherheitspolitik

  • Operative und technische Hilfe für Mitgliedstaaten und EU‑Institutionen

  • Förderung von Kapazitätsaufbau und Zusammenarbeit

  • Sensibilisierung der Öffentlichkeit und Unternehmen

  • Mitwirkung am europäischen Cybersicherheitszertifizierungsrahmen

  • Internationale Kooperation im Einklang mit EU‑Außenpolitik

ENISA arbeitet mit Analysen, Leitlinien, Bedrohungsberichten, Übungen und Trainingsprogrammen. Die Agentur gilt als zentrale Anlaufstelle für Expertise, Koordination und Beratung im europäischen Cybersicherheitsökosystem.

Bewertung der Agentur der Europäischen Union für Cybersicherheit (ENISA) sowie des europäischen Rahmens für die Cybersicherheit-Zertifizierung (ECCF).

Relevanz der ENISA‑Bewertung für KRITIS‑Betreiber

KRITIS‑Betreiber stehen vor steigenden Anforderungen durch NIS2, CRA, DORA und sektorale Vorgaben. Die Bewertung zeigt:

  • ENISA ist ein zentraler Wissens‑ und Koordinationsknoten für die EU‑weite KRITIS‑Resilienz.

  • Bislang war die Agentur im Verhältnis zu ihrem wachsenden Mandat unterausgestattet, was sich auf die Qualität und Geschwindigkeit von Leitlinien, technischen Empfehlungen und Lagebildern auswirkte. Der CSA2-Vorschlag der Kommission vom 20.01.2026 sieht eine Erhöhung des ENISA-Budgets um mehr als 75 % (auf rund 341 Mio. € über sieben Jahre) sowie neue operative Aufgaben (Betrieb des Single-Entry-Points, EU-weite Frühwarnungen, Ransomware-Reaktionsunterstützung) vor. Da dieser Vorschlag sich noch im Trilog-Verfahren befindet (Stand August 2026), ist die Ressourcenknappheit aktuell weiterhin gegeben, eine deutliche Verbesserung aber politisch bereits angelegt.

  • Die fehlende Priorisierung bei ENISA führt dazu, dass KRITIS‑relevante Themen (z. B. OT‑Security, ICS‑Risiken, sektorale Harmonisierung) nicht immer mit der notwendigen Tiefe behandelt werden.