Delegierte Verordnung (EU) 2026/881 der Kommission vom 11. Dezember 2025 zur Ergänzung der Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates durch Festlegung der Modalitäten und Bedingungen für die Geltendmachung von Cybersicherheitsgründen im Zusammenhang mit dem Aufschub der Verbreitung von Meldungen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

02026R0881 — DE — 20.04.2026 — 000.001 Dieser Text dient lediglich zu Informationszwecken und hat keine Rechtswirkung. Die EU-Organe übernehmen keine Haftung für seinen Inhalt. Verbindliche Fassungen der betreffenden Rechtsakte einschließlich ihrer Präambeln sind nur die im Amtsblatt der Europäischen Union veröffentlichten und auf EUR-Lex verfügbaren Texte. Diese amtlichen Texte sind über die Links in diesem Dokument unmittelbar zugänglich ►B DELEGIERTE VERORDNUNG (EU) 2026/881 DER KOMMISSION vom 11. Dezember 2025 zur Ergänzung der Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates durch Festlegung der Modalitäten und Bedingungen für die Geltendmachung von Cybersicherheitsgründen im Zusammenhang mit dem Aufschub der Verbreitung von Meldungen (Text von Bedeutung für den EWR) (ABl. L 881 vom 20.4.2026, S. 1) Berichtigt durch: ►C1 Berichtigung, ABl. L 90449 vom 9.6.2026, S. 1 ((EU) 2026/8812026/881) ▼B DELEGIERTE VERORDNUNG (EU) 2026/881 DER KOMMISSION vom 11. Dezember 2025 zur Ergänzung der Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates durch Festlegung der Modalitäten und Bedingungen für die Geltendmachung von Cybersicherheitsgründen im Zusammenhang mit dem Aufschub der Verbreitung von Meldungen (Text von Bedeutung für den EWR) Artikel 1 Gegenstand In dieser Verordnung werden die Modalitäten und Bedingungen für die Geltendmachung der in Artikel 16 Absatz 2 der Verordnung (EU) 2024/2847 genannten Gründe im Zusammenhang mit der Cybersicherheit festgelegt, aus denen das als Koordinator benannten CSIRT, das eine Meldung gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der genannten Verordnung ursprünglich erhalten hat, die Verbreitung der Meldung an die als Koordinatoren benannten CSIRTs, in deren Hoheitsgebiet das Produkt mit digitalen Elementen nach Angabe des Herstellers bereitgestellt wurde, aufschieben kann. Artikel 2 Begriffsbestimmungen Für die Zwecke dieser Verordnung bezeichnet der Ausdruck 1. „CSIRT, das die Meldung ursprünglich erhalten hat“ das gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze 1 und 2 der Verordnung (EU) 2024/2847 als Koordinator benannte CSIRT, bei dem die Meldung ursprünglich eingegangen ist; 2. „zuständiges CSIRT“ bezeichnet das als Koordinator benannte CSIRT, in dessen Hoheitsgebiet das Produkt mit digitalen Elementen nach Angabe des Herstellers bereitgestellt wurde. Artikel 3 Modalitäten und Bedingungen für die Geltendmachung von Gründen der Cybersicherheit in Bezug auf die Art der gemeldeten Informationen Das CSIRT, das die Meldung ursprünglich erhalten hat, kann beschließen, die Verbreitung von Meldungen oder Teilen davon an die zuständigen CSIRTs so lange aufzuschieben, wie unbedingt erforderlich, wenn angesichts der Sensibilität der gemeldeten Informationen die aus der Verbreitung ergebenden Cybersicherheitsrisiken gegenüber den Vorteilen in Bezug auf die Sicherheit überwiegen und diese Risiken nicht durch Beschränkungen der Bearbeitung oder Weitergabe der Meldung durch geeignete Protokolle wie das Traffic Light Protocol (TLP) oder das Permissible Actions Protocol (PAP) gemindert werden können und wenn mindestens eine der folgenden Bedingungen erfüllt ist: a) Der Hersteller hat dem CSIRT, das die Meldung ursprünglich erhalten hat, mitgeteilt, dass voraussichtlich innerhalb von 72 Stunden eine wirksame Risikominderungsmaßnahme, z. B. eine Sicherheitsaktualisierung oder Orientierungshilfen für die Nutzer, verfügbar gemacht wird; wird innerhalb dieses Zeitrahmens keine wirksame Risikominderungsmaßnahme verfügbar gemacht, so leitet das CSIRT, das die Meldung ursprünglich erhalten hat, die Meldung an die zuständigen CSIRTs weiter; b) die in der Meldung enthaltenen Informationen werden angesichts der Art der gemeldeten aktiv ausgenutzten Schwachstelle als ausreichend erachtet, um eine Technik zu ihrer Ausnutzung zu entwickeln, insbesondere wenn die Schwachstelle von Akteuren mit begrenzten Fähigkeiten und Ressourcen leicht erkannt und ausgenutzt werden kann; sobald eine wirksame Risikominderungsmaßnahme, z. B. eine Sicherheitsaktualisierung oder Orientierungshilfen für die Nutzer, verfügbar ist, leitet das CSIRT, das die Meldung ursprünglich erhalten hat, die Meldung an die zuständigen CSIRTs weiter; c) das CSIRT, das die Meldung ursprünglich erhalten hat, kann ist den zuständigen CSIRTs ausreichende Informationen zur Verfügung stellen, damit die zuständigen CSIRTs angemessene Risikominderungsmaßnahmen ergreifen können; sobald eine wirksame Risikominderungsmaßnahme, z. B. eine Sicherheitsaktualisierung oder Orientierungshilfen für die Nutzer, verfügbar ist, leitet das CSIRT, das die Meldung ursprünglich erhalten hat, die Meldung an die zuständigen CSIRTs weiter; d) das CSIRT, das die Meldung zu der aktiv ausgenutzten Schwachstelle ursprünglich erhalten hat, wurde im Rahmen einer koordinierten Offenlegung von Schwachstellen, für die dieses CSIRT als vertrauenswürdiger Vermittler gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 fungiert, darauf aufmerksam gemacht; in einem solchen Fall leitet das CSIRT, das die Meldung ursprünglich erhalten hat, die Meldung im Einklang mit Artikel 16 Absatz 6 der Verordnung (EU) 2024/2847 an die zuständigen CSIRTs weiter, wenn ein Aufschub nicht mehr unbedingt erforderlich ist und die an der koordinierten Offenlegung von Schwachstellen beteiligten Parteien ihre Zustimmung zur Offenlegung erteilt haben. Artikel 4 Modalitäten und Bedingungen für die Geltendmachung von Gründen im Zusammenhang mit der Cybersicherheit in Bezug auf ein bestimmtes CSIRT Das CSIRT, das die Meldung ursprünglich erhalten hat, kann beschließen, die Verbreitung von Meldungen oder von Teilen davon an ein bestimmtes zuständiges CSIRT in den folgenden Fällen so lange aufzuschieben, wie unbedingt erforderlich: a) das zuständige CSIRT ist von einem Cybersicherheitsvorfall betroffen, der Zweifel an seiner Fähigkeit zur Gewährleistung der Vertraulichkeit der gemeldeten Informationen aufkommen lässt; b) es hat hinreichenden Grund zu der Annahme, dass die Fähigkeiten des zuständigen CSIRT nicht ausreichen, um die Vertraulichkeit der gemeldeten Informationen zu gewährleisten. In den in Unterabsatz 1 Buchstabe a genannten Fällen kann das CSIRT, das die Meldung ursprünglich erhalten hat, die Verbreitung aufschieben, bis das zuständige CSIRT dem in Artikel 15 der Richtlinie 2022/2555 genannten CSIRTs-Netzwerk mitgeteilt hat, dass es die Vertraulichkeit der Meldungen wieder gewährleisten kann. In den in Unterabsatz 1 Buchstabe b genannten Fällen kann das CSIRT, das die Meldung ursprünglich erhalten hat, die Verbreitung an das zuständige CSIRT so lange aufschieben, bis das CSIRT nachgewiesen hat, dass es die festgestellten Mängel behoben hat. Artikel 5 ▼C1 Modalitäten und Bedingungen für die Geltendmachung von Gründen im Zusammenhang mit der Cybersicherheit in Bezug auf die einheitliche Meldeplattform ▼B Das CSIRT, das die Meldung ursprünglich erhalten hat, kann beschließen, die Verbreitung von Meldungen über die gemäß Artikel 16 der Verordnung (EU) 2024/2847 eingerichtete einheitliche Meldeplattform aufzuschieben, wenn die ENISA dem CSIRTs-Netzwerk gemäß Artikel 16 Absatz 4 der genannten Verordnung mitgeteilt hat, dass die einheitliche Meldeplattform von einem Cybersicherheitsvorfall betroffen ist, der Zweifel an ihrer Fähigkeit aufkommen lässt, die Vertraulichkeit der gemeldeten Informationen zu gewährleisten. In solchen Fällen kann das CSIRT, das die Meldung ursprünglich erhalten hat, die Verbreitung über die einheitliche Meldeplattform aufschieben, bis die ENISA dem CSIRTs-Netzwerk mitgeteilt hat, dass die Plattform die Vertraulichkeit der Meldungen wieder gewährleisten kann. Artikel 6 Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.