Summary

  • Zum Prüfungszeitpunkt hatten dreizehn EU-Mitgliedstaaten die ersten beiden grenzüberschreitenden Cyberzentren ATHENA und ENSOC gewählt. Der Europäische Rechnungshof fand beide nicht einsatzfähig; das neue europäische Cybersicherheits-Warnsystem funktionierte noch nicht.
  • Die erste Stufe der Vergabe begann für ENSOC im Mai und für ATHENA im Juli 2024. Ausgewählte Bewerber erhielten erst im April 2025 Nachricht. Einige ENSOC-Lose kamen im August 2025 in die zweite Stufe, doch zum geprüften Zeitpunkt war für kein Los ein Vertrag unterzeichnet.
  • Auch nach dem Kauf braucht die Warnkette Kooperationsvereinbarungen, eine gemeinsame Einstufung von Vorfällen und technische Standards zwischen den Zentren, den nationalen CSIRTs und EU-CyCLONe. Entscheidend wird ein datierter Betriebstest samt bestätigter Weitergabe einer Warnung sein.

Der Verein war gegründet, die Sensoren nicht bestellt

Die europäische Cybersicherheits-Warninfrastruktur soll einen praktischen Zeitgewinn schaffen: Was ein Land über eine Bedrohung entdeckt, muss den Nachbarn erreichen, bevor daraus dessen eigener Vorfall wird. Nationale und grenzüberschreitende Cyberzentren sollen Signale bündeln und für Analyse und Abwehr nutzbar machen. Dreizehn Mitgliedstaaten hatten sich den ersten beiden Zentren angeschlossen. Der Rechnungshof stellte fest, dass aus dieser Mitgliedschaft noch kein gemeinsamer Dienst geworden war.

ATHENA und ENSOC nahmen im Januar 2024 die Projektarbeit auf. Ihre Zuschüsse finanzierten Aufbau und Betrieb. Für fortgeschrittene Erkennungs- und Austauschwerkzeuge lief daneben eine gemeinsame Beschaffung. Das eingeschränkte zweistufige Verfahren hat einen Sicherheitszweck: sensible technische Anforderungen sollen nur ausgewählten Unternehmen zugänglich sein. Wer diesen Schutz wählt, muss die Anforderungen allerdings rechtzeitig fertigstellen. Sonst schützt das Verfahren eine Spezifikation, die noch niemand anbieten kann.

Die erste Stufe wurde für ENSOC im Mai 2024, für ATHENA im Juli eröffnet. Unternehmen hatten jeweils einen Monat für die Bewerbung. Die Nachricht über die Auswahl kam im April 2025. Für Angebote in Stufe zwei fehlten anschließend noch die endgültigen technischen Vorgaben, an denen Mitglieder der Zentren und das Europäische Kompetenzzentrum für Cybersicherheit, ECCC, arbeiteten. Einige ENSOC-Lose erreichten die zweite Stufe im August 2025; für ATHENA war sie damals Anfang 2026 vorgesehen. Bei der Prüfung lag für kein Los ein unterschriebener Vertrag vor.

Die Verzögerung schlug sich in den Förderverträgen nieder: fünfzehn Monate Verlängerung bei ATHENA, achtzehn bei ENSOC. Der Rechnungshof beschrieb die Zentren als betrieblich auf Eis gelegt und das neue Warnsystem als noch nicht funktionsfähig. Diese Fristen betreffen den Aufbau, nicht die Dauer eines bestimmten Cyberangriffs. Um einen späteren Zustandswechsel zu belegen, braucht es ein Abnahmeprotokoll für die installierte Technik und einen Test, bei dem eine Warnung nachweislich die nächste Stelle erreicht.

Eine gemeinsame Sprache gehört zur Ausrüstung

Europa hat bereits nationale Incident-Response-Teams, ihr CSIRTs-Netz und EU-CyCLONe für große Cyberkrisen. Der Cyber Blueprint von 2025 klärte viele Rollen. Offen blieb das Verfahren, mit dem die CSIRTs einen möglicherweise großflächigen Vorfall an EU-CyCLONe melden und einstufen. Was bedeutet „erheblich“, was „großflächig“, welche Angaben braucht die Maschine für den automatischen Austausch? Behörden in Irland, Griechenland und Italien nannten den Prüfern die fehlende gemeinsame Taxonomie.

Die neuen Zentren eröffnen einen weiteren Weg für Bedrohungsdaten, Schwachstellen und Kompromittierungsindikatoren. Das kann einen vertraulichen Austausch zwischen Ländern beschleunigen. Es kann aber auch eine zusätzliche Übergabestelle erzeugen, an der jeder annimmt, der andere habe die Nachricht schon erhalten. Der Rechnungshof sah Überschneidungen zwischen Zentren und CSIRTs und keine klare Grenze ihrer Aufgaben beim Teilen von Informationen. Kooperationsverfahren und technische Anschlussregeln waren noch nicht vereinbart.

Nationale Sicherheitsgesetze begrenzen zu Recht, welche Details über Grenzen gehen. Daraus folgt eine präzise Arbeitsfrage: Welches Feld darf weiter, mit welcher Dringlichkeit, an wen, und wer bestätigt den Eingang? Die Pflicht, Informationen ohne unnötige Verzögerung zu teilen, schreibt weder ein gemeinsames Datenformat noch einen nächtlichen Bereitschaftsplan.

Auf der offiziellen Vergabeseite des ECCC stehen weiterhin Verfahren für ATHENAs Plattform-Infrastruktur und den spanischen ENSOC-Hostingstandort mit Bewerbungsfristen im September 2026. Die Einträge zeigen Beschaffungstätigkeit nach dem vom Rechnungshof untersuchten Zeitraum. Sie belegen keine Abnahme des gesamten Warnsystems. Ausschreibung, Zuschlag, Installation und erfolgreich übermittelte Warnung sind vier verschiedene Ereignisse.

Was im Einsatz zählt

Der Sonderbericht erschien im September 2026 und prüfte 2022 bis 2025. Bestehende CSIRTs, EU-CyCLONe und vorab beauftragte Krisendienstleister arbeiteten in dieser Zeit weiter. Der Befund betrifft die zusätzliche Warnschicht, die die EU aufbauen wollte und die bei der Prüfung noch kein nutzbarer Dienst war.

Ein Einsatzleiter braucht keine weitere Karte mit Mitgliedslogos. Er muss wissen, welcher Kanal heute tatsächlich offen ist, wer einen Vorfall klassifiziert, wer die Eskalation auslöst und wer den Eingang bestätigt. Eine Organisationsgrafik beantwortet Zuständigkeiten auf Papier. Eine beobachtete Übung beantwortet die Frage nach dem Weg des Signals. Im Ernstfall zählt die zweite Antwort.

Quellen: Europäischer Rechnungshof, Sonderbericht 19/2026; offizielle ECCC-Vergaben.