Durchführungsverordnung (EU) 2025/2540 der Kommission vom 9. Dezember 2025 mit Durchführungsbestimmungen zur Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates hinsichtlich der Einrichtung des Plans für die gegenseitige Begutachtung

1 Die gegenseitigen Begutachtungen der nationalen Behörden für die Cybersicherheitszertifizierung werden nach dem in Anhang I festgelegten Zeitplan durchgeführt. Jede gegenseitige Begutachtung wird bis zu dem in diesem Zeitplan angegebenen Zeitpunkt abgeschlossen und danach alle fünf Jahre durchgeführt.

2 Unter außergewöhnlichen Umständen kann eine begutachtete nationale Behörde für die Cybersicherheitszertifizierung bei der Kommission einen hinreichend begründeten Antrag auf Verschiebung ihrer gegenseitigen Begutachtung über das in der Liste in Anhang I angegebene Datum hinaus stellen. Die Kommission prüft in Zusammenarbeit mit der durch Artikel 62 der Verordnung (EU) 2019/881 eingesetzten europäischen Gruppe für die Cybersicherheitszertifizierung den Antrag und unterrichtet alle Beteiligten rechtzeitig über das Ergebnis.

3 Hat ein Mitgliedstaat im Einklang mit Artikel 58 Absatz 1 der Verordnung (EU) 2019/881 a) mehr als eine nationale Behörde für die Cybersicherheitszertifizierung in seinem Hoheitsgebiet benannt, werden alle nationalen Behörden für die Cybersicherheitszertifizierung dieses Mitgliedstaats parallel einer gegenseitigen Begutachtung unterzogen; b) die nationale(n) Behörde(n) für die Cybersicherheitszertifizierung eines anderen Mitgliedstaats benannt, kann bzw. können diese nationale(n) Behörde(n) für die Cybersicherheitszertifizierung nach dem Zeitplan, der entweder für den benennenden Mitgliedstaat oder für den Mitgliedstaat der benannten nationale(n) Behörde(n) für die Cybersicherheitszertifizierung festgelegt wurde, in Bezug auf die in dem benennenden Mitgliedstaat wahrgenommenen Aufsichtsaufgaben einer gegenseitigen Begutachtung unterzogen werden.

4 Die Agentur der Europäischen Union für Cybersicherheit (ENISA) macht die folgenden Informationen auf der gemäß Artikel 50 der Verordnung (EU) 2019/881 eingerichteten Website zu europäischen Schemata für die Cybersicherheitszertifizierung öffentlich zugänglich: a) Informationen zum Zeitplan gemäß Anhang I; b) die nach Artikel 2 Absatz 5 geführte Liste der die gegenseitige Begutachtung durchführenden nationalen Behörden für die Cybersicherheitszertifizierung.

5 Jede nationale Behörde für die Cybersicherheitszertifizierung trägt selbst die Kosten ihrer Beteiligung.

1 Gemäß Artikel 59 Absatz 4 der Verordnung (EU) 2019/881 erfolgt jede gegenseitige Begutachtung durch zwei die gegenseitige Begutachtung durchführende nationale Behörden für die Cybersicherheitszertifizierung anderer Mitgliedstaaten und die Kommission. Die nationalen Behörden für die Cybersicherheitszertifizierung der einzelnen Mitgliedstaaten nehmen während jedes in Anhang I festgelegten Zeitraums an der gegenseitigen Begutachtung von mindestens zwei nationalen Behörden für die Cybersicherheitszertifizierung teil.

2 Die nationalen Behörden für die Cybersicherheitszertifizierung anderer Mitgliedstaaten können mit Zustimmung der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung, der die gegenseitige Begutachtung durchführenden nationalen Behörden für die Cybersicherheitszertifizierung und der Kommission als Beobachter mit einem oder mehreren Vertretern an der gegenseitigen Begutachtung teilnehmen.

3 Ein Vertreter der ENISA kann als Beobachter an der gegenseitigen Beurteilung teilnehmen. Weitere Vertreter können mit Zustimmung der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung, der die gegenseitige Begutachtung durchführenden nationalen Behörden für die Cybersicherheitszertifizierung und der Kommission ebenfalls teilnehmen.

4 Beobachter haben Zugang zu denselben Informationen wie die anderen Mitglieder des Begutachtungsteams, nehmen jedoch keine Aufgaben im Zusammenhang mit der Durchführung der gegenseitigen Begutachtung wahr.

5 Die ENISA schlägt in Zusammenarbeit mit der Kommission und der europäischen Gruppe für die Cybersicherheitszertifizierung die Liste der die gegenseitige Begutachtung durchführenden nationalen Behörden für die Cybersicherheitszertifizierung vor, die den in Anhang I festgelegten Zeitplan umsetzen sollen, und führt diese Liste. Jedes Jahr fordert die ENISA in Zusammenarbeit mit der Kommission die nationalen Behörden für die Cybersicherheitszertifizierung auf, ihr Interesse an der Durchführung von oder der Teilnahme als Beobachter an den in Anhang I für das folgende Jahr vorgesehenen gegenseitigen Begutachtungen der nationalen Behörden für die Cybersicherheitszertifizierung zu bekunden.

6 Bekunden mehr als zwei nationale Behörden für die Cybersicherheitszertifizierung ihr Interesse an der Durchführung der gegenseitigen Begutachtung derselben nationalen Behörde für die Cybersicherheitszertifizierung, konsultieren die Kommission und die ENISA die interessierten nationalen Behörden für die Cybersicherheitszertifizierung und entscheiden über die Teilnehmer der gegenseitigen Begutachtung.

7 Gibt es in einem bestimmten Jahr nicht genügend die gegenseitige Begutachtung durchführende Behörden, die ihr Interesse an der Durchführung der gegenseitigen Begutachtungen bekunden, so wählt die Kommission nach Konsultation der europäischen Gruppe für die Cybersicherheitszertifizierung die nationalen Behörden für die Cybersicherheitszertifizierung aus, die die gegenseitigen Begutachtungen durchführen. Bei ihrer Auswahl berücksichtigt die Kommission die Verpflichtung der nationalen Behörden für die Cybersicherheitszertifizierung der einzelnen Mitgliedstaaten zur Teilnahme an der gegenseitigen Begutachtung von mindestens zwei nationalen Behörden für die Cybersicherheitszertifizierung gemäß Absatz 1.

1 Rechtzeitig vor Beginn der gegenseitigen Begutachtung benennt jede die gegenseitige Begutachtung durchführende Behörde einen Vertreter für die Durchführung der gegenseitigen Begutachtung. Die die gegenseitige Begutachtung durchführenden nationalen Behörden für die Cybersicherheitszertifizierung können mehr als einen Vertreter benennen, wenn dies erforderlich ist, um sicherzustellen, dass das Begutachtungsteam über die erforderlichen Kompetenzen für die Durchführung der gegenseitigen Begutachtung verfügt.

2 Der Vertreter der die gegenseitige Begutachtung durchführenden nationalen Behörden für die Cybersicherheitszertifizierung, mit Ausnahme der Vertreter von nationalen Behörden für die Cybersicherheitszertifizierung, die als Beobachter teilnehmen, muss folgende Kriterien erfüllen: a) verfügt über mindestens zwei Jahre Arbeitserfahrung bei der die gegenseitige Begutachtung durchführenden nationalen Behörde für die Cybersicherheitszertifizierung oder hat an mindestens zwei gegenseitigen Begutachtungen als Beobachter teilgenommen; b) verfügt über ausreichende Kenntnisse des in der Verordnung (EU) 2019/881 festgelegten Rahmens für die Cybersicherheitszertifizierung; c) hat gute praktische Kenntnisse des Englischen und, soweit möglich, einer oder mehrerer der in dem Mitgliedstaat der begutachteten nationalen Behörden für die Cybersicherheitszertifizierung gesprochenen Sprachen; d) handelt unabhängig von der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung.

3 Die die gegenseitige Begutachtung durchführenden Behörden für die Cybersicherheitszertifizierung stellen sicher, dass jegliches Risiko eines Interessenkonflikts im Zusammenhang mit den benannten Vertretern den anderen Behörden für die Cybersicherheitszertifizierung, der Kommission und der ENISA vor Beginn der gegenseitigen Begutachtung offengelegt wird. Die begutachtete nationale Behörde für die Cybersicherheitszertifizierung kann Einwand gegen die Benennung bestimmter Vertreter gemäß Absatz 5 erheben.

4 Die die gegenseitige Begutachtung durchführenden Behörden für die Cybersicherheitszertifizierung wählen aus ihrer Mitte einen Vertreter (im Folgenden „Teamleiter“) aus, der die gegenseitige Begutachtung koordiniert.

5 Die Kommission übermittelt der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung vor Beginn des Verfahrens der gegenseitigen Begutachtung die Namen und Kontaktdaten der Vertreter der die gegenseitige Begutachtung durchführenden nationalen Behörden für die Cybersicherheitszertifizierung. Möchte die begutachtete nationale Behörde für die Cybersicherheitszertifizierung Einwand gegen die Benennung eines oder mehrerer Vertreter erheben, so legt sie der Kommission innerhalb von zwei Wochen eine klare Begründung vor, unterrichtet die ENISA und die europäische Gruppe für die Cybersicherheitszertifizierung und fordert die die gegenseitige Begutachtung durchführende nationale Behörde für die Cybersicherheitszertifizierung auf, einen anderen Vertreter zu benennen.

6 Führt das Verfahren nach Absatz 5 aufgrund außergewöhnlicher Umstände zu unangemessenen Verzögerungen bei der Einleitung der gegenseitigen Begutachtung, so entscheidet die Kommission in Absprache mit der ENISA und der europäischen Gruppe für die Cybersicherheitszertifizierung über die Zusammensetzung des Begutachtungsteams.

1 Im Rahmen der gegenseitigen Begutachtung werden die in Anhang II aufgeführten Aspekte gemäß Artikel 59 Absatz 3 der Verordnung (EU) 2019/881 bewertet.

2 Die ENISA kann in Zusammenarbeit mit der europäischen Gruppe für die Cybersicherheitszertifizierung und der Kommission Vorlagen für die Bewertung der von der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung festgelegten Verfahren ausarbeiten.

3 Die gegenseitige Begutachtung umfasst Folgendes: a) einen Fragenkatalog zur Selbstbewertung, b) eine Bewertung der einschlägigen Dokumentation, c) Online- und/oder persönliche Befragungen, d) einen Ortstermin.

4 Die Dauer der gegenseitigen Begutachtung kann je nach Umfang und Komplexität der Tätigkeiten der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung vorab zwischen dem Begutachtungsteam und der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung vereinbart werden. Der Ortstermin darf nicht länger als drei Arbeitstage dauern.

5 Sofern von dem Begutachtungsteam, der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung und der Kommission nicht anders vereinbart, erfolgt die Zusammenarbeit in englischer Sprache. Der in Absatz 5 genannte Bericht über die gegenseitige Begutachtung ist zumindest in englischer Sprache zu erstellen.

6 Die begutachtete nationale Behörde für die Cybersicherheitszertifizierung arbeitet mit dem Begutachtungsteam zusammen und gewährt ihm Zugang zu den Informationen und Unterlagen, die für die Durchführung der gegenseitigen Begutachtung erforderlich sind. Die begutachtete nationale Behörde für die Cybersicherheitszertifizierung übermittelt den Fragekatalog zur Selbstbewertung und den letzten gemäß Artikel 58 Absatz 7 Buchstabe g der Verordnung (EU) 2019/881 angenommenen zusammenfassenden Jahresbericht mindestens 21 Tage vor dem Datum des Ortstermins. Zusätzliche Unterlagen werden auf Ersuchen des Begutachtungsteams innerhalb von sieben Tagen nach Eingang des entsprechenden Ersuchens übermittelt.

7 Die Unterlagen sind in englischer Sprache vorzulegen, sofern gemäß Absatz 5 nicht anders vereinbart. Werden die Unterlagen nicht in englischer Sprache vorgelegt, kann das Begutachtungsteam verlangen, dass die für die Durchführung der gegenseitigen Begutachtung erforderlichen Unterlagen ins Englische übersetzt werden.

8 Vor der Erstellung des Berichts über die gegenseitige Begutachtung gemäß Artikel 5 erörtert das Begutachtungsteam vorläufige Ergebnisse mit der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung.

1 Innerhalb von 21 Tagen nach Durchführung der gegenseitigen Begutachtung erstellt das Begutachtungsteam den Entwurf eines Berichts über die gegenseitige Begutachtung, in dem der Mitgliedstaat der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung, die die gegenseitige Begutachtung durchführenden nationalen Behörden für die Cybersicherheitszertifizierung, die Kommission und etwaige Beobachter angegeben sind und der die Ergebnisse und Schlussfolgerungen der gegenseitigen Begutachtung enthält. Der Bericht enthält erforderlichenfalls Empfehlungen zur Verbesserung der im Rahmen der gegenseitigen Begutachtung behandelten Aspekte.

2 Die ENISA kann in Zusammenarbeit mit der Kommission und der europäischen Gruppe für die Cybersicherheitszertifizierung eine Vorlage für den Bericht über die gegenseitige Begutachtung ausarbeiten.

3 Nach Erstellung des Entwurfs des Berichts über die gegenseitige Begutachtung gemäß Absatz 1 legt das Begutachtungsteam diesen der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung zur Stellungnahme innerhalb von 14 Tagen vor. Das Begutachtungsteam bewertet die Anmerkungen und nimmt sie, soweit möglich, in den Abschlussbericht auf, um für Konsens zu sorgen. Im Falle von Meinungsverschiedenheiten wird die Antwort der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung dem Abschlussbericht beigefügt.

4 Der Abschlussbericht wird der europäischen Gruppe für die Cybersicherheitszertifizierung innerhalb von zwei Monaten nach Durchführung der gegenseitigen Begutachtung übermittelt, einschließlich einer Zusammenfassung zur Veröffentlichung. Gemäß Artikel 59 Absatz 6 der Verordnung (EU) 2019/881 prüft die europäische Gruppe für die Cybersicherheitszertifizierung den Bericht und billigt seine Zusammenfassung, die auf der gemäß Artikel 50 der Verordnung (EU) 2019/881 eingerichteten Website zu europäischen Schemata für die Cybersicherheitszertifizierung veröffentlicht wird. Die Zusammenfassung enthält auch die Antwort der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung oder Teile davon im Einvernehmen mit der begutachteten nationalen Behörde für die Cybersicherheitszertifizierung.

5 Das Begutachtungsteam anonymisiert personenbezogene Daten, die es möglicherweise während der gegenseitigen Begutachtung gesammelt hat, bevor es den Bericht über die gegenseitige Begutachtung über das Begutachtungsteam hinaus verbreitet.

1 Alle an den gegenseitigen Begutachtungen Beteiligten wahren die Vertraulichkeit der Informationen und Daten, von denen sie in Ausübung ihrer Aufgaben und Tätigkeiten Kenntnis erlangen, und schützen dabei insbesondere Folgendes: a) Rechte des geistigen Eigentums, vertrauliche Geschäftsinformationen oder Geschäftsgeheimnisse natürlicher oder juristischer Personen, auch Quellcode, mit Ausnahme der in Artikel 5 der Richtlinie (EU) 2016/943 des Europäischen Parlaments und des Rates genannten Fälle, b) die wirksame Durchführung dieser Verordnung, c) öffentliche und nationale Sicherheitsinteressen, d) die Integrität von Straf- oder Verwaltungsverfahren.

2 Das Begutachtungsteam stellt sicher, dass alle im Rahmen des Verfahrens der gegenseitigen Begutachtung erlangten Informationen sicher verarbeitet werden. Nach Erstellung des Abschlussberichts und der Zusammenfassung gemäß Artikel 5 Absatz 4 löscht oder vernichtet das Begutachtungsteam, einschließlich etwaiger Beobachter, alle im Rahmen des Verfahrens der gegenseitigen Begutachtung gesammelten oder erstellten Dokumente mit Ausnahme des Abschlussberichts und der Zusammenfassung.

3 Die ENISA kann unter Berücksichtigung bestehender bewährter Verfahren der nationalen Behörden für die Cybersicherheitszertifizierung in Zusammenarbeit mit der europäischen Gruppe für die Cybersicherheitszertifizierung Leitlinien für sichere und vertrauliche Kommunikation ausarbeiten.

Die ENISA analysiert die aggregierten Ergebnisse der gegenseitigen Begutachtung und hebt die gewonnenen Erkenntnisse und bewährten Verfahren hervor, um zum Kapazitätsaufbau bei den nationalen Behörden für die Cybersicherheitszertifizierung und zur Aufrechterhaltung der europäischen Systeme für die Cybersicherheitszertifizierung beizutragen. Diese Analyse kann, soweit erforderlich, Schulungen und zusätzliche Leitlinien für die nationalen Behörden für die Cybersicherheitszertifizierung umfassen, die gemeinsam mit der europäischen Gruppe für die Cybersicherheitszertifizierung ausgearbeitet werden.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.