EPSO AD8 in Cybersicherheit: EPSO/AD/430/26

EPSO/AD/430/26, veröffentlicht am 8. September 2026 (Amtsblatt C/2026/4668), bildet Reservelisten von AD8-Administratoren in zwei Fachgebieten. Fachgebiet 2 ist Cybersicherheit mit 254 Plätzen, das größere der beiden; Fachgebiet 1 ist künstliche Intelligenz mit 240 Plätzen und einem eigenen Leitfaden. Sie bewerben sich nur für ein Fachgebiet.

Das Auswahlverfahren richtet sich an erfahrene Fachkräfte: AD8 liegt oberhalb der üblichen Einstiegsstufen, und jeder Weg zur Zulassung verlangt mindestens fünf Jahre einschlägige Berufserfahrung. Die Bekanntmachung beschreibt ein breites, technisches Profil: fünf Aufgabenkategorien, die von Risikomanagement und Architektur über das Security Operations Center bis zu Governance und Beratung reichen. Jede von ihnen „erfordert technisches Fachwissen“.

Sie brauchen die Unionsbürgerschaft und zwei EU-Sprachen, eine auf Niveau C1 und eine andere auf Niveau B2. Dazu kommt eine von vier Kombinationen aus Studium und Berufserfahrung. Die Berufserfahrung zählt ab dem Datum Ihres Abschlusses und muss den Aufgaben im Bereich Cybersicherheit in Anhang II der Bekanntmachung entsprechen.

Ein Masterabschluss oder eine Promotion in einer zugelassenen Fachrichtung erfüllt die Varianten mit vier und fünf Jahren Studium, unabhängig von Ihrem ersten Abschluss. Die zugelassenen Fachrichtungen bilden drei Gruppen:

• Ohne Weiteres zugelassen: Cybersicherheit, Informationssicherheit oder Information Assurance; Security Engineering; digitale Forensik und Reaktion auf Sicherheitsvorfälle; Kryptografie und Schlüsselverwaltung.
• Mit Schwerpunkt auf IKT-Sicherheit zugelassen: Systemarchitektur, Softwaretechnik, Technische Informatik oder Elektrotechnik, Informationssysteme, Automatisierungs- und Regelungstechnik, eingebettete Systeme, Mensch-Computer-Interaktion, Netzwerke, Telekommunikation, Operational Technology, IoT und cyber-physische Systeme, IKT-Governance und -Management, IT-Audit, Risikomanagement, Wirtschaftsinformatik und Projektmanagement.
• Mit Schwerpunkt auf Sicherheit, Kryptografie, Risikoanalyse oder Sicherheitsanalytik zugelassen: Data Science oder Data Engineering, Anwendungen von KI oder maschinellem Lernen, angewandte Mathematik oder Statistik.

Den Schwerpunkt weisen Sie nach durch eine anerkannte Spezialisierung auf dem Abschlusszeugnis oder im Notenauszug, durch mindestens 30 ECTS (ein Semester in Vollzeit), durch eine Abschlussarbeit, durch einen begutachteten Fachartikel oder Konferenzbeitrag zur Cybersicherheit oder durch einen maßgeblichen Beitrag zu einem nationalen oder europäischen Forschungsprojekt. Die beiden letzten Nachweise müssen während des Studiums entstanden sein.

Alle Tests werden aus der Ferne und unter Aufsicht abgelegt, an den Terminen in Ihrer Einladung und nicht unbedingt in dieser Reihenfolge.

Die Tests zum logischen Denken haben dasselbe Format und dieselben Mindestpunktzahlen wie in den anderen Auswahlverfahren von EPSO aus dem Jahr 2026. Zur Plattform und zu den Regeln für Tests aus der Ferne siehe den Leitfaden zu TAO.

In einer strikten Reihenfolge, die die Bekanntmachung festlegt:

1. Zuerst werden die Tests zum logischen Denken bewertet. Wer sie nicht besteht, wird in keinem weiteren Test bewertet.
2. Bei allen, die das logische Denken bestanden haben, wird der Fachtest Cybersicherheit bewertet. Wer mindestens 15/30 erreicht, kommt nach dieser Punktzahl in eine Rangliste.
3. Für die Bestplatzierten dieser Rangliste wird der Aufsatz bewertet und die Zulassung geprüft. Ihre Zahl ist begrenzt, grundsätzlich auf höchstens das 1,5-Fache der Zahl der Plätze. In Cybersicherheit sind das rund 381 Bewerber, dazu etwaige Punktgleiche an der Grenze.
4. Wer den Aufsatz besteht und die Zulassungsvoraussetzungen erfüllt, kommt in der Reihenfolge der Rangliste auf die Reserveliste, bis die 254 Plätze besetzt sind.

Der Fachtest ist also die einzige Punktzahl, die zählt. Vor der Liste gibt es weder ein Auswahlgespräch noch ein Assessment-Center. Die Ergebnisse werden erst am Ende des Auswahlverfahrens verschickt, egal bis zu welcher Stufe Sie gekommen sind.

Die Bekanntmachung enthält keinen Stoffplan: Der Test ist „spezifisch für das Fachgebiet“. Am nächsten kommt einem Stoffplan Anhang II, der fünf Aufgabenkategorien beschreibt. An ihm wird auch Ihre Berufserfahrung gemessen.

1. Risikomanagement und Sicherheitsgewährleistung. Rahmenwerke für das Risikomanagement, von der Identifizierung bis zur Überwachung; Fähigkeits- und Reifegradmodelle; Sicherheitsbewertungen, Schwachstellenmanagement, Penetrationstests und Überprüfungen von Zugriffsrechten; Kennzahlen und Berichterstattung zu Kontrollen.
2. Architektur, Design und Technologie. Sicherheitsarchitektur über den gesamten Lebenszyklus von IT-Systemen, einschließlich Cloud- und Hybridumgebungen; risikogerecht zugeschnittene Sicherheitsprodukte und -kontrollen wie Netzwerksicherheitsgeräte, SIEM, XDR, Cloud Detection and Response, IAM und PAM; sichere Entwicklung, Code-Reviews, Kryptografie und Schlüsselverwaltung, DevSecOps; sowie der Einsatz von KI, maschinellem Lernen und Quantencomputing in der Sicherheit.
3. Sicherheitsbetrieb und Reaktion auf Sicherheitsvorfälle. Überwachung, Erkennung und Threat Hunting; digitale Forensik und Reaktion auf Sicherheitsvorfälle, von Netzwerk- und Systemforensik bis zur Loganalyse; Weiterentwicklung eines Security Operations Centers (Engineering, Automatisierung von Threat Intelligence, Red Teaming, Detection Engineering); sowie Dienste der Reaktionskapazität für Sicherheitsvorfälle (CSIRC).
4. Governance, Richtlinien und Koordinierung. Projekt-, Programm- und Portfoliomanagement; Teamleitung; eine rollierende mehrjährige Sicherheitsstrategie; Richtlinien, Standards und Verfahren; Compliance, Audits und Bescheinigungen; Vertretung des Organs in interinstitutionellen Gruppen und Expertengruppen; kontinuierliche Verbesserung.
5. Sensibilisierung, Kompetenzen und Beratung. Sensibilisierungskampagnen und Schulungen; fachliche Beratung zu Identitäts- und Zugriffsmanagement, elektronischen Signaturen und Vertrauensdiensten.

Auf die Breite kommt es an: Wer aus einem SOC kommt, muss Governance und Strategie abdecken, und wer aus der Governance kommt, muss Erkennung und Forensik abdecken. Die Bekanntmachung nennt keine Rechtsvorschriften, aber die Aufgaben werden im Rahmen von EU-Vorschriften wahrgenommen, die Sie griffbereit haben sollten: die Verordnung (EU, Euratom) 2023/2841 über Cybersicherheit in den Organen, Einrichtungen und sonstigen Stellen der Union; die NIS-2-Richtlinie (EU) 2022/2555; der Rechtsakt zur Cybersicherheit, Verordnung (EU) 2019/881; die Cyberresilienz-Verordnung, Verordnung (EU) 2024/2847; und die eIDAS-Verordnung, Verordnung (EU) Nr. 910/2014, für elektronische Signaturen und Vertrauensdienste.

1. Prüfen Sie jetzt Ihre Zulassung. Zählen Sie Ihre Jahre Berufserfahrung ab dem Datum Ihres Abschlusses. Gehört Ihre Fachrichtung zur zweiten oder dritten Gruppe, sammeln Sie die Nachweise für Ihren Sicherheitsschwerpunkt: Notenauszug, ECTS, Abschlussarbeit oder Veröffentlichung. Die Unterlagen sind bis zum 14. Januar 2027 fällig, aber eine Lücke, die dann auffällt, lässt sich nicht mehr schließen.
2. Unterschätzen Sie das logische Denken nicht. Sie müssen es nur bestehen, aber es kommt zuerst. Wer als erfahrene Fachkraft seit Jahren keinen psychometrischen Test abgelegt hat, kann daran scheitern, mit einem Lebenslauf, der die Rangliste anführen würde. Üben Sie das echte Format: 40 Fragen in 65 Minuten, verteilt auf drei zeitlich begrenzte Tests.
3. Stecken Sie die meiste Zeit in den Fachtest. Nur seine Punktzahl entscheidet über Ihren Rang: 30 Fragen in 40 Minuten, rund 80 Sekunden pro Frage, in Ihrer Sprache 2. Arbeiten Sie die fünf Kategorien von Anhang II durch und beginnen Sie mit der, die am weitesten von Ihrer eigenen Tätigkeit entfernt ist.
4. Lernen Sie das Vokabular in Ihrer Sprache 2. Risikobehandlung, Threat Hunting oder Schlüsselverwaltung begegnen Ihnen in dieser Sprache, nicht in der, in der Sie arbeiten.
5. Lesen Sie die Unterlagen für den Aufsatz, sobald EPSO sie veröffentlicht. Der EUFTE beruht auf EU-Dokumenten, die EPSO vor dem Test auf seine Website stellt. Bewertet wird die schriftliche Kommunikation, nicht Faktenwissen oder Sprachkenntnisse.
6. Bewerben Sie sich vor dem letzten Tag. Die Frist endet am 13. Oktober 2026 um 12:00 Uhr Brüsseler Zeit. Bis dahin muss auch die Ausweiskopie hochgeladen sein.