Offiziell verkauft Brüssel den „Cybersecurity Act 2“ als Schutzschild gegen Spionage, Sabotage und unsichere Lieferketten. Tatsächlich gilt: Das Vorhaben zielt auf China – und knebelt die ganze EU. Die Kommission will künftig wesentlich stärker bestimmen, welche Hersteller in kritischen Netzen eingesetzt werden dürfen, welche Technik als vertrauenswürdig gilt und wie Unternehmen ihre Cybersicherheit nachweisen müssen.

Noch ist CSA2 kein geltendes Recht. Die EU-Kommission legte den Verordnungsentwurf am 20. Januar 2026 vor. Im Europäischen Parlament liegt er beim Industrieausschuss ITRE; eine endgültige Parlamentsposition gibt es ebenso wenig wie eine gemeinsame Linie des Rates oder Trilogverhandlungen. Der Text kann sich also noch ändern.

Der Entwurf soll den Cybersecurity Act von 2019 ersetzen. Zertifizierungen für IT-Produkte, Dienste und Prozesse sollen beschleunigt, die Befugnisse der EU-Cybersicherheitsagentur ENISA erweitert und Lieferketten zentraler kontrolliert werden. Dabei will Brüssel nicht nur technische Schwachstellen bewerten, sondern auch „nichttechnische Risiken“ wie Abhängigkeiten, ausländische Einflussmöglichkeiten und die Herkunft eines Lieferanten.

Die Stoßrichtung ist kaum zu übersehen. Wie heise online berichtet, richtet sich die Regelung vor allem gegen die chinesischen Anbieter Huawei und ZTE. Betreiber kritischer Kommunikationsnetze sollen nicht mehr auf sogenannte Hochrisiko-Lieferanten setzen dürfen. Für 5G-Netze sieht der Vorschlag einen Ausstieg innerhalb von drei Jahren vor; Produkte und Dienste betroffener Anbieter könnten zudem von europäischen Sicherheitszertifikaten ausgeschlossen werden.

Der Preis dafür könnte gewaltig sein. Die EU-Kommission veranschlagt den Austausch laut Heise auf insgesamt 10 bis 13 Milliarden Euro. Eine von sieben großen Netzbetreibern beauftragte Studie von GSMA Intelligence kommt dagegen auf direkte Kosten von 30 bis 40 Milliarden Euro: 16 bis 22 Milliarden für Mobilfunknetze, bis zu fünf Milliarden für Festnetze und weitere neun bis zwölf Milliarden für Transportnetze.

Die Studie warnt außerdem, dass weniger Wettbewerb die Preise für Mobilfunkausrüstung um 24 Prozent, für Festnetztechnik um 19 Prozent und für Transportnetze um zehn Prozent erhöhen könnte. Allein zwischen 2027 und 2030 seien dadurch weitere 8,5 Milliarden Euro möglich, bis 2035 insgesamt 24 Milliarden. Diese Zahlen sind allerdings umstritten: Der ECIPE-Direktor Hosuk Lee-Makiyama hält der Studie laut Heise entgegen, sie rechne Bruttokosten ein und berücksichtige nicht ausreichend, dass Teile der Technik im normalen Lebenszyklus ohnehin ersetzt würden. Die GSMA erwidert, die vorgesehene Dreijahresfrist erzwinge gerade den vorzeitigen Austausch.

Selbst wenn am Ende die niedrigere Schätzung stimmt, bleibt die Rechnung milliardenschwer. Netzbetreiber müssten funktionierende Technik herausreißen, Lieferketten neu ordnen und Investitionspläne umwerfen. Engpässe bei alternativen Herstellern und Dienstleistern könnten den Umbau zusätzlich erschweren. Geld, das dafür ausgegeben wird, fehlt beim Glasfaserausbau und bei modernen 5G-Netzen. Die Kosten verschwinden nicht in Brüssel: Sie landen über Tarife, Gebühren und Förderprogramme bei Kunden und Steuerzahlern.

Auch die Zertifizierung wird massiv ausgeweitet. Künftig sollen nicht nur Produkte, Dienste und Prozesse zertifizierbar sein, sondern auch die gesamte Cybersicherheitslage eines Unternehmens. Solche Zertifikate könnten als Nachweis für Vorgaben aus NIS2 und anderen EU-Gesetzen dienen. Das kann Doppelprüfungen verringern, schafft aber zugleich einen neuen Markt für Prüfer, Berater und Compliance-Abteilungen. Große Konzerne verkraften diese Kosten leichter als kleine Anbieter.

Verbraucher erhalten im besten Fall verständlichere Sicherheitsnachweise. Im schlechteren Fall bekommen sie höhere Preise, weniger Auswahl und einen langsameren Netzausbau. Ein politisch verordnetes Herkunftsurteil ist zudem noch kein Beweis dafür, dass jede Ersatztechnik technisch sicherer oder zuverlässiger arbeitet.

ENISA gehört zu den klaren Gewinnern. Ihr Budget soll um mehr als 75 Prozent steigen, jeder Mitgliedstaat müsste zwei Verbindungsbeamte benennen. Die Agentur bekäme mehr Einfluss auf Lagebilder, Standards, Zertifizierung, operative Zusammenarbeit und die Reaktion auf Ransomware. Begleitende Änderungen an NIS2 sollen zwar Tausende Unternehmen entlasten, zugleich aber weitere Zuständigkeiten auf EU-Ebene bündeln.

Die Bedrohungen durch staatliche Spionage, Ransomware und manipulierte Lieferketten sind real. Doch Brüssel benutzt sie für einen Kontrollapparat mit politisch dehnbaren Begriffen und enormen Folgekosten. China steht im Visier, aber den bürokratischen Würgegriff spüren europäische Netzbetreiber, IT-Unternehmen und Verbraucher. Bevor CSA2 Gesetz wird, muss geklärt werden, wer einen Anbieter auf welcher Beweisgrundlage zum Risiko erklärt – und wer für den Austausch funktionierender Technik bezahlt.

Quellen: EU-Kommission: Verordnungsvorschlag COM(2026) 11, Fragen und Antworten der EU-Kommission, Legislativverfahren im Europäischen Parlament, heise online: Milliardenlast für Europas Netze