Der Kandidatenentwurf für das European Managed Security Services Certification Scheme (EUMSS) macht sichtbar, wie ein künftiges europäisches Zertifizierungsmodell für Managed Security Services ausgestaltet werden könnte. Er ist jedoch noch kein geltendes Zertifizierungsschema: ENISA veröffentlichte Draft v1.1 am 24. Juli 2026 zur Konsultation; diese endete am 13. September 2026. Zum Stand der zugrunde liegenden Recherche vom 4. Oktober 2026 bleiben Inhalt, Prüftiefe, Übergangsregeln und der Zeitpunkt einer möglichen Annahme offen.
Ungeachtet dieses Status ist der Entwurf praktisch relevant. Er formuliert ein detailliertes serviceorientiertes Referenzmodell für die Auswahl, vertragliche Steuerung und Überwachung von Managed Security Service Providern (MSSPs). Gerade für Incident-Response-Services zeigt er, welche Nachweise zu Leistungsumfang, Entscheidungsrechten, Kapazitäten und Krisenfähigkeit belastbar sein sollten.
EUMSS ist ein Entwurf – keine allgemeine Zertifizierungspflicht
Die Erweiterung des EU Cybersecurity Act durch die Verordnung (EU) 2025/37 schafft die Grundlage für europäische Zertifizierungsschemata für Managed Security Services. Zertifizierung nach dem Cybersecurity Act ist grundsätzlich freiwillig, sofern Unions- oder nationales Recht keine abweichende Vorgabe trifft. Aus dem konsultierten EUMSS-Entwurf folgt daher weder für MSSPs noch für deren Kunden eine allgemeine, unmittelbar geltende Pflicht.
Eine besondere Perspektive besteht für die EU Cybersecurity Reserve: Nach dem Cyber Solidarity Act müssen Anbieter, die dort Dienste erbringen, diese innerhalb von zwei Jahren nach Anwendbarkeit eines MSS-Zertifizierungsschemas zertifizieren lassen. Für den breiteren Markt ist dies keine Verpflichtung, wohl aber ein Hinweis auf die strategische Bedeutung eines künftig zertifizierbaren Serviceangebots.
Zertifiziert würde ein Serviceprofil, nicht der gesamte MSSP
Der Entwurf trennt bewusst zwischen Anbieterorganisation, Kundenmandat und Service. Zertifiziert werden soll die Fähigkeit eines Anbieters, ein konkret beschriebenes Managed-Security-Service-Profil unter den Bedingungen des Schemas für alle Kunden zu erbringen. Die Zertifizierung wäre damit weder ein Organisationszertifikat für den gesamten MSSP noch eine Bestätigung für eine einzelne Kundeninstanz.
Für die Beschaffung ist diese Abgrenzung wesentlich. Ein Zertifikat könnte künftig ein belastbares Assurance-Signal für das zertifizierte Profil sein. Es beantwortet aber nicht automatisch, ob Scope, Integrationen, Zugriffsrechte, Reaktionszeiten und Wiederanlaufprozesse im individuellen Vertrag zum Risikoprofil des Kunden passen. Kunden sollten daher stets zwischen allgemeiner Servicefähigkeit und kundenspezifischer Eignung unterscheiden.
Horizontale Baseline und vertikales Profil: die zweischichtige Architektur
EUMSS folgt einer zweischichtigen Struktur. Die horizontale Ebene (HoLa) enthält die gemeinsame Baseline für alle später zertifizierbaren Serviceprofile. Sie ist verbindliche Voraussetzung, aber keine eigenständige Zertifizierungsbasis. Die vertikale Ebene (VeLa) ergänzt sie um Anforderungen für einen bestimmten Dienst.
Die HoLa adressiert sichere Service- und Plattformgestaltung, kontrolliertes Deployment und Transition, Verfügbarkeit und Servicekontinuität, operative Serviceführung sowie kontinuierliche Verbesserung und Technologiewartung. Vorgesehen sind die Assurance Levels Basic, Substantial und High; die Anforderungen gelten über diese Stufen hinweg, während Prüftiefe und erwartete Evidenz variieren.
Diese Struktur ist für Kunden hilfreich, weil sie Beschaffungsfragen nicht auf allgemeine Sicherheitszertifikate verkürzt. Stattdessen rückt sie die tatsächlich bezogene Leistung in den Mittelpunkt: Wie wird sie entworfen, eingeführt, betrieben, überprüft, verbessert und bei Störungen aufrechterhalten?
Service-Design und Übergaben gehören in Ausschreibung und Vertrag
Die horizontale Ebene gliedert die Leistungserbringung in Setup, Execution und Closure. Bereits im Setup verlangt der Entwurf schriftliche Regelungen zu Scope, Zielen, Leistungs- und Rollenmodell, Kommunikations- und Eskalationswegen, Incident- und Meldeanforderungen, Zugriffssteuerung, Reporting, technischen Integrationen, On- und Offboarding sowie Drittparteienabhängigkeiten. Hinzu kommen die Abstimmung zu Continuity und Disaster Recovery.
Ein Service Agreement soll unter anderem Deliverables, eingesetzte technische und organisatorische Mittel, Notfallkontakte, Anforderungen an Personal, Regeln für Subunternehmer, den Umgang mit sicherheitsrelevanten Schwachstellen sowie Pflichten bei Vertragsende und Datenmigration abdecken. Für Einkaufs- und Third-Party-Risk-Funktionen folgt daraus ein konkreter Prüfmaßstab: Nicht allein das Vorliegen eines Rahmenvertrags ist entscheidend, sondern ob das vereinbarte Serviceprofil operativ ausführbar und überprüfbar beschrieben ist.
- Leistungsgrenzen, Abhängigkeiten und Ausschlüsse sollten eindeutig dokumentiert sein.
- Rollen, Entscheidungskompetenzen und Eskalationen müssen auch außerhalb üblicher Geschäftszeiten funktionieren.
- Subunternehmer und technische Subservices sollten servicebezogen transparent gemacht werden.
- Exit, Datenmigration und die Übergabe an Nachfolgeanbieter oder interne Teams benötigen vorab definierte Abläufe.
Warum Incident Response das erste vertikale Profil ist
Der erste ausgearbeitete vertikale Schwerpunkt liegt im Incident-Management-Lifecycle und zunächst bei Incident Response. ENISA und die Europäische Kommission priorisieren diesen Bereich insbesondere wegen des Bedarfs der EU Cybersecurity Reserve an vertrauenswürdigen Incident-Response-Services. In der Anfrage der Kommission werden weitere mögliche Profile genannt, etwa Detection, Qualification and Escalation, Recovery sowie Post-Incident Analysis.
Diese Priorisierung ist fachlich nachvollziehbar: Bei einem schwerwiegenden Sicherheitsvorfall reichen generische Leistungsversprechen nicht aus. Entscheidend sind verfügbare Expertise, belastbare Kommunikationswege, klare Befugnisse und eine nachweisbar funktionierende Zusammenarbeit zwischen Provider und Kunde. Incident Response macht damit sichtbar, wie eng Servicequalität, Krisenorganisation und Vertragsgestaltung zusammenhängen.
Incident Response operationalisieren: Zeit, Autorisierung und Kapazität
Für Incident Response konkretisiert der Entwurf messbare Ziele für Time to Acknowledge und Time to Response, dokumentierte Messpunkte sowie Kapazitätskommunikation. Die Leistungsvereinbarung soll zum jeweiligen Verfügbarkeitsmodell passen. Ebenso verlangt das Profil, ausbleibende Kundenfreigaben zu dokumentieren.
Besondere Aufmerksamkeit verdient die Entscheidungs- und Befugnismatrix. Sie soll Maßnahmen wie Isolation, Trennung oder Abschaltung von Kundenassets abdecken. Kunden und MSSP sollten deshalb nicht erst im Ereignisfall klären, wer welche Maßnahme autorisieren darf, welche Vorbedingungen gelten und wann eine erneute Freigabe erforderlich ist. Erforderlich sind außerdem abgestimmte Krisenentscheidungsstrukturen sowie Eskalationen zu Verantwortlichen des MSSP, des Kunden und gegebenenfalls zu Behörden.
Für Incident-Response-Retainer empfiehlt sich eine Vertrags- und Übungskontrolle anhand weniger konkreter Fragen: Wann beginnt die Zeitmessung? Welche Informationen muss der Kunde liefern? Welche Handlungen darf der Provider unmittelbar vornehmen? Wie werden Beweissicherung und Kommunikation organisiert? Und an wen geht die Verantwortung über, wenn aus Containment und Analyse ein Recovery- oder Krisenmanagementprozess wird?
Provider-Resilienz: Kontinuität, Lieferkette und Verbesserung nachweisen
Der EUMSS-Entwurf behandelt Servicekontinuität nicht als isoliertes BCM-Dokument. Mindestens ein Mitglied der obersten Leitung soll für Servicekontinuität und Notfallmanagement verantwortlich sein. Vorgesehen sind eine Business-Impact-Analyse mindestens jährlich oder nach wesentlichen Änderungen, ein dokumentierter Service-Continuity-Plan mit Auslöse- und Wiederanlaufregeln sowie jährliche oder anlassbezogene Tests. Die Testdurchführung und ihre Ergebnisse sollen dokumentiert werden; Kunden und relevante Dritte können einbezogen werden.
Auch Subservice-Organisationen und Lieferanten gehören in dieses Bild. Ihre Bedeutung für Kontinuität, Wiederherstellung und Resilienz soll bewertet, dokumentiert und regelmäßig überprüft werden. Für Kunden genügt deshalb keine formale Lieferantenliste. Sinnvoll ist eine servicebezogene Abhängigkeitsanalyse, die kritische technische und personelle Abhängigkeiten, Ausfallfolgen, Ersatzoptionen, Meldewege und verfügbare Continuity-Nachweise sichtbar macht.
MSSPs sollten die geforderte Evidenz pro Serviceprofil aufbauen: nachvollziehbare Servicebeschreibungen, Vorlagen für Verträge und Statements of Work, Betriebsdokumentation, Nachweise aus Übungen, Change- und Vulnerability-Management sowie dokumentierte Verbesserungsmaßnahmen. Der Entwurf sieht für Zertifikate eine Höchstlaufzeit von drei Jahren sowie jährliche Überwachungsbewertungen, Rezertifizierungen und anlassbezogene Sonderbewertungen vor. Damit wird fortlaufende Wirksamkeit wichtiger als eine einmalige Dokumentationsleistung.
Was EUMSS nicht ersetzt: eigene NIS2- und ISMS-Verantwortung
Der Entwurf stellt ausdrücklich klar, dass eine EUMSS-Zertifizierung lediglich Evidenz für ausgewählte, mit der Durchführungsverordnung (EU) 2024/2690 ausgerichtete Risikomanagementanforderungen liefern kann. Sie ersetzt oder antizipiert weder die NIS2-Compliance noch die Aufsicht durch zuständige nationale Behörden.
Die NIS2-Richtlinie unterstreicht die Sorgfalt bei Auswahl von Managed Security Service Providern und die Berücksichtigung von Qualität, Resilienz und Sicherheitspraktiken von Lieferanten. Dennoch verbleiben Anwendbarkeit, eigene Risikoanalyse, Lieferantensteuerung, Vertragsgestaltung und Nachweisführung beim Kunden. Auch ein künftig zertifiziertes Incident-Response-Profil kann nicht belegen, dass alle kundenspezifischen Risiken und regulatorischen Pflichten abgedeckt sind.
Pragmatischer nächster Schritt für Kunden und MSSPs
Kunden können den Entwurf schon jetzt als Due-Diligence-Raster in Ausschreibungen, Vertragsprüfungen und regelmäßigen Provider-Reviews einsetzen. Priorität haben eine Lückenanalyse der Servicebeschreibung, klar geregelte Autorisierungen für Sofortmaßnahmen, überprüfbare Kapazitäts- und Verfügbarkeitszusagen sowie die Verzahnung des Provider-Continuity-Plans mit eigenen Incident-, Krisen- und Wiederanlaufprozessen.
MSSPs sollten umgekehrt prüfen, ob sie ihre Leistungsfähigkeit profilbezogen belegen können. Wer Service-Design, Übergaben, Betriebsführung, Lieferkettenabhängigkeiten, Übungen und Verbesserungen konsistent dokumentiert, schafft nicht nur eine Grundlage für ein mögliches künftiges Zertifizierungsverfahren. Er erleichtert Kunden auch heute eine fundierte Beschaffungs- und Governance-Entscheidung.