Europa
ENISA: Stand der Cybersicherheit in der EU 2026 – Index bei 71,53 und fünf Richtungen für die Zukunft
Der zweite Bericht der ENISA zum Stand der Cybersicherheit in der Union stellt ein reiferes Europa fest, mit einem EU-Durchschnitt von 71,53 im Cybersicherheitsindex, während die Bedrohungslage „erheblich“ bleibt.
Europa wird in der Cybersicherheit reifer, doch die Bedrohungslage bleibt „erheblich“. Das ist das Ergebnis des zweiten Berichts zum Stand der Cybersicherheit in der Union, der am Dienstag, 10. November 2026, von der ENISA, der Agentur der Europäischen Union für Cybersicherheit, vorgestellt wurde. Der Bericht erscheint alle zwei Jahre gemäß Artikel 18 der NIS2-Richtlinie, in Zusammenarbeit mit der Europäischen Kommission und der NIS-Kooperationsgruppe der Mitgliedstaaten.
ENISA-Exekutivdirektor Juhan Lepassaar sagte, „es gibt Fortschritte, aber jetzt müssen wir auf dieser Grundlage aufbauen und unsere Strategien aktualisieren“. Er wies darauf hin, dass die Entwicklungen bei den modernsten Technologien, aber auch die Vorfälle mit Kühlsystemen in der gesamten EU Lücken im operativen Bereich sowie die Notwendigkeit zeitnaher Informationsweitergabe und Koordinierung zeigen. Wir haben über diese Vorfälle in unserem Bericht zu Angriffen auf Kühlsysteme berichtet, während amerikanische Behörden eine ähnliche Warnung vor Angriffen auf Kühlsteuerungen herausgegeben hatten. Er forderte ein stärkeres gemeinsames Lagebild und eine bessere Abstimmung der Politiken in kritischen Sektoren.
Der Index: 71,53 im Durchschnitt
Die Reife der Staaten wurde mit dem Europäischen Cybersicherheitsindex (EU-CSI) auf einer Skala von 0 bis 100 gemessen. Der EU-Durchschnitt für 2026 liegt bei 71,53 Punkten. Zwei Mitgliedstaaten erreichen das Niveau „fortgeschritten“, 22 das Niveau „reif“ und drei das Niveau „etabliert“. Keiner liegt darunter. Die fünf besten Länder erreichen im Durchschnitt 79,86 Punkte, die fünf schwächsten 60,45.
Stärken sind das Lieferkettenmanagement durch wesentliche und wichtige Einrichtungen (89,91), Forschung und Innovation (79,24) sowie die Umsetzung nationaler Strategien (66,72). Lücken gibt es bei den Computer-Notfallteams (CSIRTs, 54,76), bei der nationalen Zertifizierung (55,56, wobei 13 Staaten auf niedrigem und 14 auf hohem Niveau liegen), bei der Beteiligung von Einrichtungen am gegenseitigen Informationsaustausch (26,30) und bei der Cybersicherheitsbildung an Grund- und weiterführenden Schulen. Dort erreichen nur 12 Staaten ein reifes oder fortgeschrittenes Niveau, im Hochschulbereich sind es 21 (73,59).
Die Bedrohungslage wird genauso eingeschätzt wie im Bericht von 2024. Denn der Krieg Russlands gegen die Ukraine war bereits in die frühere Bewertung eingeflossen, und die heutigen Cyberaktivitäten richten sich vor allem gegen die unmittelbar Beteiligten, mit nur begrenzten Auswirkungen auf die EU. Die Angriffe, die die Union treffen, sind meist DDoS-Angriffe (Denial of Service) mit geringer Wirkung. Von den Vorfällen des Jahres 2025 hatten 57,3 % ideologische Motive, 29,3 % finanzielle und 5,9 % betrafen Spionage.
Ein „strategischer Kompass“ mit fünf Richtungen
Der neue Bericht fügt einen „strategischen Kompass“ mit fünf Richtungen hinzu, auf denen die politischen Empfehlungen beruhen. Die erste ist die wirksame Umsetzung der Rechtsvorschriften, damit Unternehmen, die in mehreren Staaten tätig sind, einen kohärenten Rahmen vorfinden. Die zweite betrifft die operative Krisenfähigkeit: Der europäische Cyber-Krisenmanagement-Blueprint von 2025 wurde in einer realen Krise noch nicht eingesetzt, und es ist nicht festgelegt, wie europäische Netzwerke strukturiert mit ihren militärischen Pendants zusammenarbeiten. Die dritte betrifft kritische Infrastrukturen. Dort sagen 70 % der Organisationen, dass die Einhaltung der Rechtsvorschriften das wichtigste Motiv für Investitionen in Cybersicherheit ist.
Die vierte Richtung betrifft Abhängigkeiten in der Lieferkette: Die Zahl der Staaten mit einer nationalen koordinierten Richtlinie zur Offenlegung von Schwachstellen stieg seit 2024 von 7 auf 17, und die NIS-Kooperationsgruppe hat Anfang 2026 den Werkzeugkasten zur Sicherheit der IKT-Lieferkette gebilligt. Die fünfte ist langfristige Resilienz durch Bewusstsein, Kompetenzen und Bildung, denn die Lücke bei Cybersicherheitsfachkräften ist seit 2024 laut dem Global Cybersecurity Outlook 2025 des Weltwirtschaftsforums um 8 % gewachsen.
In der Politik verzeichnet der Bericht die Umsetzung der NIS2-Richtlinie, des Cyberresilienzgesetzes und des Cybersolidaritätsgesetzes sowie den Vorschlag für einen zweiten Cybersicherheitsrechtsakt. Die europäische Cybersicherheitsreserve unterstützt nun auch die Republik Moldau und die Ukraine. Die vollständigen Ergebnisse finden sich in der Pressemitteilung der ENISA.
