© Benoit Daoust, 123RF

Zwei Jahre nach dem ersten Vorschlag haben sich Vertreter von Parlament, Kommission und Rat der EU über Inhalte und Umsetzung einer Cybersecurity-Richtlinie verständigt. Ziel des Gesetzes zur Cybersicherheit ist es unter anderem, kritische Infrastruktur vor Cyberangriffen zu schützen.

Wenn sich in Brüssel Europarat, Parlament und Kommission an einen Tisch setzen, nennt man das einen Trilog. Die Vertreter der genannten Gremien in der Europäischen Union haben im Dezember einen solchen Trilog gestartet, sich den Vorschlag für eine Cybersecurity-Richtlinie aus dem Jahr 2013 [1] sowie die Einwände und Wünsche aus einer Beratung im Jahr 2014 vorgenommen und den Trilog mit einer einvernehmlich erarbeiteten Gesetzesvorschrift über Cybersicherheit [2] beendet. Der Beschluss der Richtlinie durch EU-Parlament und -Rat gilt nach dieser Einigung als Formsache.

Vorbeugen

Den vielfältigen Gefahren, denen Informationssysteme ausgesetzt sind, sollen laut Richtlinie zur “Network and Information Security” (NIS) höhere Sicherheitslevel entgegenstehen. Der böswillige Angriff ist dabei nicht allein Gegenstand der Sicherheitsmaßnahmen, auch technische Defekte, menschliches Versagen und Naturkatastrophen sind in der Richtlinie adressiert. Soweit möglich sollen vorbeugende Maßnahmen die Gefahren für die IT möglichst gering halten, zudem soll, wenn etwas passiert, die Reaktion besser koordiniert sein.

Abbildung 1: Die NIS-Richtlinie beinhaltet eine Meldepflicht für relevante Unternehmen. © Dotshock 123RF

Drei Ziele sind in der Richtlinie enthalten, denen nun entsprechende Maßnahmen zur Durchsetzung gereichen sollen: verbesserte Sicherheit in den Mitgliedstaaten, bessere Zusammenarbeit der Staaten und verstärkte Mitarbeit der an kritischen Infrastrukturservices beteiligten Firmen. Bei Letzteren sind die Bereiche Energie, Transport, Gesundheitswesen und Finanzen genannt sowie zentrale digitale Dienste wie Suchmaschinen und Cloud Computing. Betreiber von Internetknotenpunkten, DNS-Provider und TLD-Registrare zählen ebenfalls zur Infrastruktur, die es besonders zu schützen gilt.

Umsetzung

Beschließen Rat und Parlament die Richtlinie, bleiben den Mitgliedstaaten 21 Monate Zeit, sie in nationales Recht umzusetzen, sechs zusätzliche Monate sind für die Identifikation der für die einzelnen Länder kritischen Services gewährt. Die Nationen sind dazu aufgefordert, für die Umsetzung der Richtlinie eine nationale NIS-Strategie zu erarbeiten und eine Kompetenzstelle zu schaffen.

Außerdem solle es nationale Computer Security Incident Response Teams (CSIRTs) geben, die für die Risikobewertung und den Umgang mit Vorfällen zuständig sind. Die Verwaltung der Teams übernimmt die EU-Agentur für Netzwerk und Informationssicherheit (ENISA). Unter dem Dach der EU-Kommission entsteht zudem eine Kooperationsgruppe, die den Informationsaustausch der Mitgliedsländer und die strategische Zusammenarbeit koordiniert.

Meldepflichten

“Wichtige Unternehmen, die nach der Richtlinie für die Gesellschaft und die Wirtschaft unerlässliche Dienste anbieten, werden dazu verpflichtet, geeignete Sicherheitsmaßnahmen zu ergreifen und ernste Vorfälle den zuständigen nationalen Behörden zu melden”, so formulieren es die EU-Politiker.

Die Betonung “wichtige” Unternehmen dürfte insbesondere bei vielen kleinen Firmen für Aufatmen gesorgt haben. Anfangs war unklar, ob die Richtlinie nicht in einem Rundumschlag für alle Firmen gilt, die etwa Cloudservices anbieten. Nun sind sie ausgenommen, allerdings sind sie verpflichtet, bei massiven Angriffen und Datenlecks, durch die personenbezogene Daten abfließen, den Datenschutzbeauftragten zu informieren.

Auswahl

Die Benennung der meldepflichtigen Unternehmen ist wiederum nationale Angelegenheit: “Die Mitgliedstaaten ermitteln diese Betreiber anhand von Kriterien, wie zum Beispiel der Frage, ob der Dienst für die Aufrechterhaltung grundlegender gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist”, heißt es seitens der EU-Kommission.

Neben den Unternehmen die “für die Gesellschaft und die Wirtschaft unerlässliche Dienste anbieten”, wie es die Kommission formuliert, sind auch große ITK-Anbieter einbezogen. Gemeint sind laut den Erläuterungen der Kommission “Online-Marktplätze (Plattformen, die es Unternehmen ermöglichen, Online-Shops einzurichten, um ihre Produkte und Dienste online anzubieten), Cloud-Computing-Dienste und Suchmaschinen”. Damit sind Marktplätze wie Amazon und Ebay mit im Boot. Soziale Netzwerke wie etwa Facebook und Twitter fehlen in der Auflistung. Die Richtlinie gilt nicht nur für Europäer, sondern auch für Firmen, die ihre Services in Europa anbieten und dort einen Sitz haben.

EU-Kommissar Günther Öttinger, der für das Ressort Digitale Wirtschaft und Gesellschaft zuständig ist, zeigt sich in einem Blogbeitrag [3] zum EU-Gesetz “very happy” und führt als Beispiel für die nötige Erhöhung des Sicherheitslevels den chinesischen Spielzeughersteller Vtech an, dessen Server für ein digitales Spielzeug einem Angriff zum Opfer fielen, mit der Konsequenz, dass einige Millionen Datensätze in die Hände des Angreifers fielen.

Deutscher Alleingang

Unabhängig von der EU-Richtlinie gilt in Deutschland seit Juli 2015 ein nationales IT-Sicherheitsgesetz [4], das – vergleichbar mit der EU-Richtlinie – die IT-Sicherheit in Unternehmen erhöhen soll. Laut diesem Gesetz sind rund 2000 deutsche Unternehmen verpflichtet, Angriffe an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden und ihre IT-Sicherheit an Mindeststandards anzupassen. Die Meldung zu Angriffen kann dabei anonym erfolgen.

Sind Angriffe so gravierend, dass mit Systemausfällen zu rechnen ist, gibt es diese Anonymität nicht mehr und der Name des Unternehmens wird genannt. Unter den meldepflichtigen Unternehmen befinden sich gemäß dem deutschen Gesetz ebenfalls solche aus den Bereichen Energie, Banken, Transport und Gesundheitswesen. Verstöße sind mit Bußgeldern bis zu 100000 Euro bewehrt.

Dem BSI als zentraler Anlauf- und Prüfstelle räumt das deutsche Sicherheitsgesetz mehr Befugnisse ein. Im Vorfeld gab es auch deswegen kritische Stimmen gegen den deutschen Vorstoß, aber auch, weil er kurz vor dem zu erwartenden Beschluss der EU erfolgte. Aus Anwaltskreisen ist nach Bekanntwerden der EU-Richtlinie zu hören, dass die Unterschiede wohl verschmerzbar sind und es Deutschland eher zum Vorteil gereicht, bereits Strukturen geschaffen zu haben.

Digitaler Binnenmarkt

Die EU-Kommission will mit der NIS-Richtlinie auch den digitalen Binnenmarkt in der EU fördern. Mit der Richtlinie sollen harmonisierte Anforderungen für Anbieter digitaler Dienste festgelegt werden, damit diese, unabhängig davon, wo in der EU sie tätig sind, mit ähnlichen Vorschriften rechnen können.

Der deutsche Internetbranchenverband Eco begrüßt die NIS-Richtlinie und auch die Entscheidung, kleine Unternehmen aus dem Anwendungsbereich herauszunehmen. Die deutsche Bundesregierung müsse nun Sorge tragen, dass es zwischen NIS-Richtlinie und deutschem IT-Sicherheitsgesetz nicht zu Differenzen komme. Internetunternehmen in Deutschland bräuchten einen verlässlichen Rechtsrahmen.

Das deutsche IT-Sicherheitsgesetz bedarf zumindest in einer Hinsicht einiger Anpassungen: Von einer Zusammenarbeit auf internationaler Ebene ist dort bislang nicht die Rede.