Zusammenfassung

  • Beim fünften EU-Ukraine-Cyberdialog in Brüssel unterzeichneten Vertreter von CERT-EU und dem ukrainischen Staatlichen Dienst für Sonderkommunikation und Informationsschutz (SSSCIP) am 9. Oktober eine Verwaltungsvereinbarung. Sie soll den Informationsaustausch zwischen CERT-EU und CERT-UA anstoßen.
  • Die Mitteilung der Kommission vom 13. Oktober nennt Gespräche über NIS2, den Cyber Resilience Act und die 5G-Cybersicherheits-Toolbox der Ukraine. Sie berichtet weder, dass der neue Austausch bereits läuft, noch nennt sie einen neuen Umsetzungsschritt für die 5G-Arbeit.

Eine Unterschrift belegt noch keinen laufenden Austausch

Die Cybersicherheitsbeziehungen zwischen der Europäischen Union und der Ukraine erhalten eine neue institutionelle Verbindung. Beim fünften Cyberdialog am 9. Oktober in Brüssel unterzeichneten Vertreter von CERT-EU und SSSCIP eine Verwaltungsvereinbarung. Nach Darstellung der Kommission soll sie den Austausch zwischen CERT-EU und CERT-UA anstoßen und die Fähigkeit beider Seiten stärken, Cybervorfälle in ihrem jeweiligen Zuständigkeitsbereich zu verhindern, zu erkennen und einzudämmen.

Das ist ein konkreter Schritt, doch die öffentliche Formulierung beschreibt einen beabsichtigten Kanal, kein bereits gemeldetes Betriebsergebnis. Die Mitteilung nennt weder den Startzeitpunkt noch die erfassten Informationen, den Umgang mit Anfragen und Weitergaben oder ein Verfahren zur Überprüfung der Vereinbarung. Einzelheiten können in anderen Dokumenten stehen; ihr Fehlen in dieser Mitteilung beweist nicht, dass Verfahren oder Schutzmaßnahmen fehlen. Es begrenzt lediglich, was sich aus der öffentlichen Aktenlage über die praktische Wirkung des Kanals ableiten lässt.

Die beiden Teams betreuen unterschiedliche institutionelle Gruppen. CERT-EU bezeichnet sich als dienststellenübergreifender Anbieter, administrativ bei der Europäischen Kommission angesiedelt und vom Interinstitutionellen Cybersicherheitsrat gesteuert. Zu seinen Aufgaben zählt die Unterstützung der Informations- und Kommunikationsinfrastrukturen der EU-Institutionen, Einrichtungen, Ämter und Agenturen, einschließlich der Koordination von Informationsaustausch und Vorfallreaktion. CERT-UA beschreibt sich als nationales ukrainisches Team für Cybervorfälle, Angriffe und Bedrohungen innerhalb des SSSCIP.

Nach den veröffentlichten Angaben verbindet die Vereinbarung die Teams über ihre jeweiligen Trägerinstitutionen; sie belegt weder die Gründung eines gemeinsamen CERT noch eine Zusammenlegung von Zuständigkeiten.

Ein neuer Kontakt neben einer älteren Kooperation

Die Vereinbarung von 2026 ist nicht der Beginn der gesamten Zusammenarbeit bei der Vorfallreaktion. Im Ukraine-Bericht 2024 der Kommission heißt es, ENISA, das Nationale Koordinierungszentrum für Cybersicherheit der Ukraine und SSSCIP hätten am 9. November 2023 eine Arbeitsvereinbarung geschlossen, die damals umgesetzt wurde. Diese frühere Verbindung betraf andere Einrichtungen. Die Ankündigung von 2026 ergänzt einen Weg zwischen CERT-EU und SSSCIP, mit CERT-UA als genanntem operativem Gegenüber. Die öffentlichen Unterlagen sagen nicht, dass der ältere Weg ersetzt wurde oder beide Vereinbarungen denselben Umfang haben.

Der Dialog umfasste mehr als die unterzeichnete Vereinbarung. EU und Ukraine erörterten die Angleichung der Ukraine an die NIS2-Richtlinie und den Cyber Resilience Act, die Umsetzung der 5G-Toolbox sowie Cyberkrisenmanagement, Cyberabwehr und die Zusammenarbeit gegen Cyberkriminalität. Die Kommission bezeichnete die Sicherheit von 5G-Netzen als Priorität, veröffentlichte aber weder eine neue Bewertung noch eine Frist oder einen abgeschlossenen Schritt. Dass ein Thema besprochen wurde, belegt seine Aufnahme in die Tagesordnung, nicht seine Umsetzung.

An dem Treffen nahmen Vertreter aus Außenpolitik, Digitalbereich, Verteidigung und Sicherheit beider Seiten teil; EU-Mitgliedstaaten waren Beobachter. Eine breite Beteiligung kann Abstimmung unterstützen. Die Mitteilung schreibt die konkrete Unterzeichnung jedoch Vertretern von CERT-EU und SSSCIP zu. Sie bietet keine Grundlage, die übrigen Teilnehmer als Unterzeichner oder gemeinsame operative Verantwortliche des geplanten Austauschs zu bezeichnen.

Welche Nachweise den Kanal überprüfbar machen würden

Der nächste nützliche Nachweis wäre konkreter als eine weitere Absichtserklärung. Ein veröffentlichter Vereinbarungstext oder eine Umsetzungshinweis könnte Umfang, zuständige Teams, Eskalationsweg und Überprüfung festlegen. Ein Betriebsbericht könnte zeigen, wann der Kanal startete, wie die Zuständigkeitsbereiche abgegrenzt sind und ob er zu messbaren Reaktionen führte. Für die 5G-Arbeit wäre ein eigener Umsetzungsnachweis nötig.

Die derzeit belastbare Schlussfolgerung bleibt eng: Eine unterzeichnete Verwaltungsvereinbarung eröffnet einen Weg zum Informationsaustausch zwischen zwei getrennten Vorfallreaktionsdiensten. Die Kommission hat diesen Weg öffentlich noch nicht so genau beschrieben, dass sich seine Betriebsgrenzen oder Ergebnisse bewerten ließen.

Quellen

  1. Europäische Kommission, Mitteilung zum fünften EU-Ukraine-Cyberdialog, 13. Oktober 2026
  2. Außenministerium der Ukraine, fünfter EU-Ukraine-Cyberdialog, 12. Oktober 2026
  3. CERT-EU, Über uns
  4. CERT-UA, Über uns
  5. Europäische Kommission, Ukraine-Bericht 2024
  6. Verordnung (EU, Euratom) 2023/2841