CSA 2 & Compliance: Wo beginnen die persönlichen Haftungsrisiken?

I. Vorneweg um was geht es im Wesentlichen

Der Cybersecurity Act 2 befindet sich im EU-Gesetzgebungsverfahren und soll den europäischen Cybersicherheitsrahmen grundlegend weiterentwickeln. Im Fokus stehen mehr Harmonisierung, stärkere Anforderungen an IKT-Lieferketten und Hochrisikoanbieter sowie eine engere Verzahnung mit NIS2. Damit gewinnt neben IT-Sicherheit insbesondere regulatorische Governance, Nachweisführung und Third-Party-Risk-Management an Bedeutung. Unternehmen sollten die absehbaren Auswirkungen daher frühzeitig gemeinsam durch Geschäftsleitung, Compliance, Legal, Einkauf und IT bewerten.

1. IKT-Lieferketten werden EU-weit reguliert
Der geplante Cybersecurity Act 2 (COM(2026) 11) soll die VO (EU) 2019/881 ersetzen und einen horizontalen Rahmen für IKT-Lieferketten und Hochrisikoanbieter schaffen. Herkunft, Eigentums- und Kontrollstrukturen, Drittstaatenbezug, Kritikalität und Austauschfähigkeit werden damit zu relevanten Compliance-Kriterien.

2. Cybersecurity wird stärker zur Governance- und Compliance-Frage.
Der Cybersecurity Act 2 soll enger mit NIS2 (EU) 2022/2555 verzahnt werden. Neben den bereits geltenden Anforderungen an Risikomanagement (Art. 21), Managementverantwortung (Art. 20) und Incident Reporting (Art. 23) gewinnen standardisierte Nachweise, Zertifizierung und dokumentierte Managementüberwachung an Bedeutung.

3. Hochrisikoanbieter können Nutzungs- und Austauschpflichten auslösen.
Der Entwurf (Art. 103–104 CSA-2-E) sieht mögliche Beschränkungen und Ausphasung bestimmter Hochrisikokomponenten vor. Damit werden Lieferantenabhängigkeiten, Drittstaatenbezug und die Austauschfähigkeit kritischer IKT zu konkreten Compliance- und Governance-Sachverhalten.

II. Timeline

Für den geplanten Cybersecurity Act 2 bestehen derzeit noch keine verbindlichen allgemeinen Compliance-Fristen, da das Gesetzgebungsverfahren noch nicht abgeschlossen ist. Der Entwurf sieht für bestimmte Vorgaben zur Ausphasung bzw. zum Austausch von Hochrisiko-Komponenten Übergangsfristen von bis zu 36 Monaten vor. Parallel wird die NIS2-Richtlinie geändert; konkrete zusätzliche Fristen ergeben sich erst aus den finalen Rechtsakten. Bereits bestehende Pflichten nach dem anwendbaren NIS2-Umsetzungsrecht, in Deutschland insbesondere dem BSIG, bleiben hiervon unberührt.

III. Pflichten für Compliance

Kernaussage vorneweg

CSA 2 begründet derzeit noch keinen eigenständigen neuen Pflichtenkatalog für die Compliance. Vielmehr treffen bestehende Pflichten aus NIS2/BSIG – insbesondere Risikomanagement, Managementüberwachung, Dokumentation und Incident Reporting – auf einen geplanten neuen EU-Rahmen für IKT-Lieferketten und Hochrisikoanbieter. Der CSA-2-Entwurf erweitert damit insbesondere den Kreis der künftig zu bewertenden Lieferanten-, Herkunfts-, Kontroll-, Drittstaaten- und Austauschrisiken.

1.) Bereits heute geltende Pflichten nach NIS2 / BSIG

Für Unternehmen, die in den Anwendungsbereich des deutschen BSIG fallen, bestehen bereits konkrete Pflichten. Besonders relevant für Compliance sind:

• Cyber-Risikomanagement: angemessene technische, operative und organisatorische Maßnahmen zur Beherrschung von Cyberrisiken; § 30 BSIG. GGesetze im Internet
• Dokumentation: Die Umsetzung der erforderlichen Risikomanagementmaßnahmen ist entsprechend den gesetzlichen Vorgaben nachweisbar zu machen; Verstöße gegen die Dokumentationspflicht können bußgeldbewehrt sein. § 30, § 65 BSIG. Gesetze im Internet
• Geschäftsleitungsverantwortung: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Zudem besteht eine gesetzliche Schulungspflicht. § 38 BSIG. GGesetze im Internet
• Incident Reporting: Erhebliche Sicherheitsvorfälle sind innerhalb gesetzlich vorgegebener Fristen zu melden – insbesondere 24 Stunden für die frühe Erstmeldung und 72 Stunden für die weitere Meldung. § 32 BSIG. GGesetze im Internet
• Aufsicht und Nachweis: Je nach Einordnung bestehen Registrierungs-, Unterrichtung-, Nachweis- und Mitwirkungspflichten gegenüber dem BSI. §§ 33 ff. BSIG. Gesetze im Internet

Das ist für deine Darstellung wichtig: Der Handlungsbedarf für Compliance besteht nicht erst wegen des CSA 2. Ein Teil der Governance-, Risiko-, Dokumentations- und Managementpflichten besteht bereits heute.

2.) Geplante zusätzliche Anforderungen durch CSA 2

Beim Cybersecurity Act 2 handelt es sich dagegen weiterhin um einen Gesetzgebungsvorschlag. Die folgenden Punkte sollten deshalb ausdrücklich als „geplant“, „vorgesehen“ oder „nach dem Entwurf“ bezeichnet werden:

• IKT-Lieferkettenrisiken: Der Entwurf sieht einen umfassenderen EU-Rahmen für die Bewertung und Steuerung von Risiken in IKT-Lieferketten vor.
• Hochrisikoanbieter: Bestimmte Anbieter können nach dem vorgesehenen Regelungsmodell als High-Risk Supplier eingestuft werden.
• Lieferantentransparenz: Relevante Informationen zu Lieferanten, Eigentums-/Kontrollstrukturen und Drittstaatenbezügen können regulatorisch relevant werden.
• Kritische Komponenten: Für bestimmte kritische IKT-Assets sind nach dem Entwurf Nutzungsbeschränkungen bzw. Ausphasungs- oder Austauschvorgaben vorgesehen.
• Zertifizierung: Zertifizierungen sollen stärker für regulatorische Nachweise und Konformitätsvermutungen nutzbar gemacht werden.
• Behördliche Aufsicht: Die geplanten Regelungen würden die Möglichkeiten der EU bzw. zuständigen Behörden zur Steuerung bestimmter IKT-Lieferkettenrisiken erweitern.

IV. Potenzielle Pain Points aus dem Cybersecurity Act 2

Potenzielle Pain Points aus CSA 2: Fehlende Transparenz über kritische IKT-Lieferketten, unklare Eigentums- und Kontrollstrukturen, Drittstaaten- und Remote-Processing-Abhängigkeiten, Single-Source-Risiken sowie fehlende technische und vertragliche Austauschfähigkeit könnten künftig die Einhaltung von Risikominderungsmaßnahmen erschweren. Hinzu kommt der steigende Bedarf, Lieferanten-, Risiko- und Managemententscheidungen gegenüber Behörden nachvollziehbar und belastbar nachweisen zu können.

1.) Fehlende Transparenz über kritische IKT-Lieferketten

Unternehmen könnten Schwierigkeiten haben, kritische IKT-Assets eindeutig ihren Lieferanten, Komponenten und Abhängigkeiten zuzuordnen. Der Entwurf knüpft die Identifizierung „wichtiger IKT-Assets“ ausdrücklich u. a. an deren Kritikalität und bestehende Abhängigkeiten von einer begrenzten Zahl von Anbietern. 

Pain Point: Fehlendes oder verteiltes Supplier-/Asset-Mapping erschwert die spätere regulatorische Bewertung.

2.) Unzureichende Kenntnis von Eigentum und Kontrolle

Bei der Einstufung von Hochrisikoanbietern soll insbesondere geprüft werden, wo ein Anbieter niedergelassen ist und wer ihn besitzt oder kontrolliert. Der Entwurf erfasst dabei auch mittelbare Kontrollverhältnisse. 

Pain Point: Bestehende Vendor-Due-Diligence-Prozesse erfassen möglicherweise nicht die für eine regulatorische High-Risk-Bewertung erforderliche Eigentums- und Kontrollstruktur.

3.) Drittstaatenbezug und Remote Processing

Als mögliche Risikominderungsmaßnahmen sieht Art. 103 Abs. 2 ausdrücklich Beschränkungen von Datentransfers in Drittländer und Remote Data Processing aus Drittländern vor. 

Pain Point: Bei Cloud-, SaaS-, Managed-Service- und Support-Modellen kann unklar sein, wo Daten verarbeitet werden, von wo aus auf Systeme zugegriffen wird und welche Unterauftragnehmer beteiligt sind.

4.) Abhängigkeit von einzelnen Anbietern

Der Entwurf berücksichtigt ausdrücklich, ob eine Abhängigkeit von einer begrenzten Zahl von Anbietern besteht. Als mögliche Risikominderungsmaßnahme ist sogar eine Diversifizierung der Versorgung mit IKT-Komponenten vorgesehen. 

Pain Point: Single-Source- und Lock-in-Situationen können regulatorisch relevant werden, obwohl ein Anbieter technisch bislang als sicher bewertet wurde.

5. Fehlende technische und wirtschaftliche Austauschfähigkeit

Bei möglichen Ausphasungs- oder Austauschmaßnahmen soll die Kommission unter anderem die Verfügbarkeit alternativer Anbieter und die wirtschaftlichen Auswirkungen berücksichtigen. Für mobile elektronische Kommunikationsnetze sieht der Entwurf eine Übergangsfrist von höchstens 36 Monaten vor. 

Pain Point: Unternehmen könnten vor der Frage stehen, ob eine betroffene Komponente innerhalb der vorgesehenen Übergangsfrist technisch, vertraglich und wirtschaftlich ersetzt werden kann.

6. Fehlende vertragliche Steuerungsmöglichkeiten

Der Entwurf nennt als mögliche Risikominderungsmaßnahme ausdrücklich Beschränkungen der Vertragsbeziehungen mit Lieferanten. 

Pain Point: Bestehende Verträge enthalten möglicherweise keine ausreichenden Rechte für Informationsbeschaffung, Audits, Subunternehmerkontrolle, Transition oder einen regulatorisch erforderlichen Anbieterwechsel.

7. Unzureichende Kontrolle von Outsourcing und Subunternehmern

Art. 103 nennt als mögliche Maßnahme auch Einschränkungen der operativen Kontrolle einschließlich des Outsourcings organisatorischer Funktionen an Managed-Service-Provider. 

Pain Point: Mehrstufige Lieferketten können dazu führen, dass das Unternehmen selbst nicht vollständig weiß, welche Drittparteien tatsächlich auf kritische IKT-Assets einwirken.

8. Nachweis- und Informationsfähigkeit gegenüber Behörden

Der Entwurf sieht als mögliche Risikominderungsmaßnahme ausdrücklich Transparenzanforderungen gegenüber der zuständigen Behörde hinsichtlich der Lieferanten kritischer IKT-Assets vor. 

Pain Point: Informationen über Lieferanten, Komponenten, Abhängigkeiten und Kontrollstrukturen müssen gegebenenfalls kurzfristig konsistent und belastbar nachweisbar sein.

9. Schnittstellenproblem zwischen Legal, Compliance, Einkauf und IT

Die möglichen Maßnahmen betreffen gleichzeitig Lieferantenverträge, technische Architektur, Datenverarbeitung, Outsourcing, Beschaffung und Risikomanagement.

Pain Point: Ein ausschließlich technisch oder ausschließlich rechtlich organisierter Prozess reicht möglicherweise nicht aus. Die regulatorische Bewertung muss mehrere Funktionen zusammenführen.

10. Übergang von Cyber-Risk zu Unternehmens- und Haftungsrisiko

Der Entwurf verpflichtet nicht heute zur Durchführung entsprechender Maßnahmen. Sollte er jedoch in vergleichbarer Form verabschiedet werden, können Entscheidungen über Lieferanten, Abhängigkeiten, Migrationen und Risikominderungsmaßnahmen stärker zu dokumentations- und governance-relevanten Managemententscheidungen werden.

Pain Point: Es muss nachvollziehbar sein, welches Risiko bekannt war, wie es bewertet wurde, welche Alternativen bestanden und warum eine bestimmte Entscheidung getroffen wurde.

V. Maßnahmen – bereits heute sinnvoll und im Lichte des CSA 2 strategisch sinnvoll

Da der Cybersecurity Act 2 noch nicht verabschiedet ist, stellen die nachfolgenden Maßnahmen keine vorgezogene Umsetzung künftiger gesetzlicher Pflichten dar. Sie dienen vielmehr dazu, bestehende Anforderungen – insbesondere aus dem BSIG – abzusichern und die Organisation auf die im Entwurf absehbaren regulatorischen Entwicklungen vorzubereiten. Im Fokus stehen dabei insbesondere die Transparenz über kritische IKT-Abhängigkeiten, die risikobasierte Steuerung von Lieferanten sowie die technische und vertragliche Handlungsfähigkeit. So können bestehende Compliance-Lücken frühzeitig geschlossen und potenzielle Umsetzungsrisiken bei einer späteren Verabschiedung des CSA 2 reduziert werden.

Maßnahmen – heute erforderlich bzw. sinnvoll und mit Blick auf CSA 2

• Kritische IKT-Lieferanten und Assets erfassen Transparenz über kritische Lieferketten, Abhängigkeiten und Zuordnungen schaffen. Dies unterstützt bereits heute die Lieferkettensicherheitsanforderungen nach § 30 Abs. 2 Nr. 4 BSIG und entspricht zugleich der im CSA-2-Entwurf erkennbaren stärkeren Fokussierung auf IKT-Lieferketten.
• Lieferanten risikobasiert bewerten Kritikalität, Abhängigkeiten und Cyberrisiken systematisch bewerten und im Hinblick auf den CSA-2-Entwurf zusätzlich Herkunft sowie Eigentums- und Kontrollstrukturen berücksichtigen.
• Kritische Abhängigkeiten und Exit-Fähigkeit prüfen Für besonders kritische Anbieter Alternativen, Migrationsmöglichkeiten, Wechselzeiten und Abhängigkeiten analysieren. Dies ist keine heutige CSA-2-Pflicht, adressiert aber unmittelbar die im Entwurf vorgesehenen möglichen Austausch- und Ausphasungsszenarien.
• Verträge auf regulatorische Steuerungsfähigkeit prüfen Bei kritischen Lieferanten insbesondere Informations-, Audit-, Sicherheits-, Subunternehmer-, Incident- und Exit-/Transition-Rechte überprüfen. Damit wird zugleich die Fähigkeit verbessert, auf mögliche künftige regulatorische Anforderungen an Lieferantenbeziehungen zu reagieren.
• Governance und Nachweisführung stärken Verantwortlichkeiten von Geschäftsleitung, Compliance, Legal, Einkauf, Risk und IT klar festlegen und Risikoanalysen, Entscheidungen, Eskalationen und Maßnahmen nachvollziehbar dokumentieren. Dies ist bereits nach dem BSIG relevant und gewinnt durch die geplante stärkere Verzahnung von NIS2 und CSA 2 zusätzlich an Bedeutung.
• Management gezielt schulen Geschäftsleitung und relevante Funktionen zu Cyber-Risiken, IKT-Lieferketten, bestehenden gesetzlichen Pflichten und den absehbaren Anforderungen des CSA 2 schulen. Für die Geschäftsleitung besteht bereits heute eine entsprechende Schulungspflicht nach § 38 Abs. 3 BSIG.

S+P Fachredaktion

VI. Quellenverzeichnis

Europäisches Recht / Gesetzgebungsvorschläge

Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Agentur der Europäischen Union für Cybersicherheit (ENISA), den europäischen Rahmen für die Cybersicherheitszertifizierung und die Sicherheit der IKT-Lieferketten sowie zur Aufhebung der Verordnung (EU) 2019/881 (Cybersecurity Act 2), COM(2026) 11 final vom 20.01.2026, 2026/0011(COD):EUR-Lex – COM(2026) 11, abgerufen am 31.08.2026.

Vorschlag für eine Richtlinie des Europäischen Parlaments und des Rates zur Änderung der Richtlinie (EU) 2022/2555 (NIS2) im Hinblick auf Vereinfachungsmaßnahmen und die Angleichung an den Cybersecurity Act 2, COM(2026) 13 final vom 20.01.2026, 2026/0012(COD):EUR-Lex – COM(2026) 13, abgerufen am 31.08.2026.

Nationales Recht Deutschland

Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz – BSIG) in der jeweils geltenden Fassung, insbesondere §§ 30 und 38:Gesetze im Internet – BSIG, abgerufen am 31.08.2026.

Berichte und Sekundärquellen der EU

European Parliament / European Parliamentary Research Service (EPRS), Autoren: Polona Car und Stefano De Luca: Briefing "EU Legislation in Progress: Cybersecurity Act Revision (CSA2)", PE 789.345, Juni 2026[cite: 1]:CSA 2 EPRS_BRI(2026)789345_EN.pdf, abgerufen am 31.08.2026.