Regulierungstexte fallen nicht vom Himmel. Sie tragen die Handschrift derer, die sie schreiben — und die Leerstellen derer, die beim Schreiben fehlen. Seit 24. Juli 2026 liegt der Entwurf des europäischen Zertifizierungsschemas für Managed Security Services (EUMSS) zur öffentlichen Konsultation vor. Wer den Text verstehen will, sollte deshalb zuerst eine andere Frage stellen: Wer saß eigentlich am Tisch?
ENISA macht die Antwort erfreulich leicht. Die Ernennung der Ad-hoc-Arbeitsgruppe ist samt vollständiger Namensliste veröffentlicht — Executive Director Decision Nr. 57/2025 vom 29. September 2025, mit vier Annexen: 30 ernannte Mitglieder, eine Reserveliste mit 90 Personen, drei ständige Beobachter und 29 nationale Beobachter der Mitgliedstaaten. Diese Transparenz verdient ausdrückliches Lob, denn sie macht die folgende Analyse überhaupt erst möglich.
Wer am Tisch sitzt
Den Vorsitz führt ENISA selbst (Vicente Gonzalez Pedros, Cybersecurity Certification Unit). Die 30 ernannten Mitglieder lassen sich in fünf Gruppen sortieren:
| Gruppe | Organisationen |
|---|---|
| Anbieter und IT-Dienstleister (rund die Hälfte) | Orange Cyberdefense, Kyndryl, DXC Technology, Northwave, Intrinsec, Dubex, Conscia, Leonardo, GMV, Sectra Critical Infrastructure, Ericsson, WhiteHat IT Security, CybrOps, Cyber Security Finland, Ergo Technology Group, Columbia Group, SAMA Partners |
| Prüfhäuser und Zertifizierer | DEKRA, TÜV Nord, jtsec, Certi-Trust |
| Beratungen | PwC CEE, Deloitte France, Wavestone |
| US-Produkthäuser | Microsoft, CrowdStrike, Oracle |
| Bezieher und Einzelexperten | Nordea Bank, ein Freelancer |
Dazu kommen als ständige Beobachter DG DIGIT, CEN/CENELEC und DIGITALEUROPE sowie 29 Behördenvertreter aus den Mitgliedstaaten — darunter allein drei von der französischen ANSSI.
Drei Beobachtungen zur Verteilung. Erstens: Die Anbieter- und Prüferseite stellt zusammen etwa vier Fünftel des Gremiums. Zweitens: Frankreich ist mit vier Mitgliedern und drei ANSSI-Beobachtern die stärkste nationale Delegation — jenes Land, das mit den ANSSI-Qualifizierungen für Incident-Response- und Audit-Dienstleister (PRIS, PASSI) das am weitesten entwickelte nationale Vorbild betreibt. Drittens: Die US-Plattformökonomie ist präsent, aber dosiert — Microsoft, CrowdStrike und Oracle als Mitglieder, Google gleich dreifach auf der Reserveliste.
Wer fehlt
Interessanter als die Anwesenheitsliste ist die Abwesenheitsliste.
Die Bezieherseite ist praktisch nicht vertreten. Eine einzige Bank sitzt erkennbar als Kunde am Tisch. Kein Industriebetrieb, kein KRITIS-Betreiber, kein Krankenhaus, keine Kommune — also niemand aus jener Gruppe NIS2-pflichtiger Einrichtungen, deren Schutz das Schema letztlich dienen soll und die künftig anhand von EUMSS-Zertifikaten einkaufen werden.
Kleine und mittlere MSSPs fehlen ebenso. Das Gremium besteht aus Konzernen und etablierten Häusern; ausgerechnet die Anbieter, für die Prüfpflicht, ISMS-Voraussetzung und jährliche Überwachung die höchsten relativen Kosten bedeuten, haben keinen Sitz.
Am bemerkenswertesten ist die dritte Leerstelle: die institutionelle Incident-Response-Community. Kein nationales CERT als Mitglied, keine erkennbare Vertretung von FIRST oder TF-CSIRT — bei einem Schema, dessen erstes und einziges zertifizierbares Profil Incident Response heißt. Die Wissenschaft taucht nur auf der Reserveliste auf, und kleinere Mitgliedstaaten sind dünn besetzt. Österreich stellt kein einziges Mitglied; es bleibt bei einer Beobachterin aus dem Bundeskanzleramt und einem Experten auf der Reserveliste.
Die Handschrift im Entwurf
Zusammensetzung ist kein Selbstzweck — sie materialisiert sich im Text. Vier Beispiele.
Die Prüfmechanik trägt die Handschrift der Assurance-Fraktion. Der Entwurf verbietet die Selbstbewertung auf allen Vertrauensniveaus, auch auf Basic, und verlangt für Substantial und High den Nachweis wirksam betriebener Kontrollen über sechs beziehungsweise zwölf Monate — belegt über Fallakten, manipulationssichere Audit-Trails und die aus der Wirtschaftsprüfung bekannte Methodik von inclusive- und carve-out-Betrachtung samt Abhängigkeitsanalyse. Das ist handwerklich solide und im Sinne der Vertrauensbildung gut begründbar. Es ist aber auch exakt das Geschäftsmodell der Häuser, die es mitgeschrieben haben, und es setzt eine Nachweisinfrastruktur voraus, die Konzerne haben und Boutiquen erst bauen müssen.
Die carve-out-Logik wiederum kommt der Plattformseite entgegen: Wer als MSSP auf Hyperscaler-Infrastruktur aufsetzt, darf sich auf deren vorhandene Assurance-Berichte stützen — ein Mechanismus, der für Anbieter mit etablierten Berichtsapparaten reibungslos funktioniert und für alle anderen Zusatzprüfungen bedeutet.
Die fehlende IR-Community hinterlässt fachliche Spuren. Die Phasenstruktur des Incident-Response-Profils ist laut Entwurf an ISO 20700 angelehnt — einer Norm für Unternehmensberatungsleistungen. Etablierte Referenzen der Incident-Response-Praxis wie das FIRST CSIRT Services Framework oder das SIM3-Reifegradmodell, mit dem ENISA selbst nationale CSIRTs bewertet, kommen im Entwurf nicht vor. Auch die Anforderungen an KI-gestützte Leistungserbringung bleiben mit zwei generischen Absätzen weit hinter dem Stand der Diskussion zurück — und sind mit den Regelungen zu vorautorisierten Eindämmungsmaßnahmen nicht verzahnt, obwohl genau dort automatisierte Response operiert.
Und die fehlende Bezieherseite zeigt sich im Kleingedruckten: Das Schema verpflichtet Anbieter zwar zur Transparenz darüber, welche Bestandteile eines Leistungspakets zertifiziert sind. Anforderungen an eine für Einkäufer tatsächlich verständliche Darstellung der Grenzen eines Zertifikats sucht man vergeblich. Das Risiko der Scope-Illusion — ein Incident-Response-Zertifikat wird als Gütesiegel für das Gesamtpaket gelesen — bleibt beim Kunden.
Einordnung statt Empörung
Der Befund taugt nicht zur Verschwörungserzählung. ENISA hat die Mitglieder aus den Bewerbungen auf einen offenen Aufruf ausgewählt; wer sich nicht bewirbt, sitzt nicht am Tisch. Dass sich vor allem Organisationen bewerben, die es sich leisten können, über vier Jahre Expertinnen und Experten in ein EU-Gremium zu entsenden, ist ein strukturelles Problem europäischer Regulierungsarbeit — kein EUMSS-spezifisches. Die Schieflage ist trotzdem real, und sie ist im Entwurf ablesbar.
Das Korrektiv existiert und hat ein Ablaufdatum: Die öffentliche Konsultation läuft bis 13. September 2026, konkrete Textvorschläge werden von ENISA bevorzugt behandelt. Genau die Perspektiven, die im Gremium fehlen — Bezieher, kleinere Anbieter, die IR-Fachcommunity — müssen jetzt schriftlich in den Prozess. Danach ist der Text auf Jahre fixiert.
Wir werden uns mit einer eigenen Stellungnahme beteiligen, mit Schwerpunkt auf den Anforderungen an KI-gestützte und automatisierte Response sowie der KMU-Verhältnismäßigkeit. Wer als betroffene Einrichtung oder Anbieter Punkte einbringen möchte, aber den 192-Seiten-Entwurf nicht selbst durcharbeiten will: Sprechen Sie uns an.
Quellen
- ENISA: ED Decision Nr. 57/2025 on the appointment of members of the Ad Hoc Working Group (AHWG) on Managed Security Services Certification (EUMSS), 29.09.2025 — certification.enisa.europa.eu
- ENISA: Draft Candidate EUMSS Scheme v1.1 for Public Review, 24.07.2026 — certification.enisa.europa.eu/publications/draft-candidate-eumss-scheme-v11-public-review_en
- ENISA: The new ad hoc working Group on EUMSS kicks-off, 21.10.2025
- ENISA: Have your say on the certification of EU Managed Security Services, 24.07.2026