Skip to content
security-265130_1920
17 December 2015

New European guidelines for cybersecurity

European trialogue negotiators reached a milestone agreement on the draft of the Network and Information Security Directive (NIS Directive) to strengthen cybersecurity across the European Union. The Directive requires providers of essential services and digital services to provide robust security and aims to build digital infrastructure security capacity and foster cooperation among EU Member States by sharing information and best practices.

Im Rahmen des Trilogs unter der Ratspräsidentschaft Luxemburgs wurde am 7. Dezember eine Vereinbarung über die gemeinsamen Regelungen zur Stärkung der Netz- und Informationssicherheit (NIS) in Europa getroffen. Die Vertreter der Kommission, des Europäischen Parlaments und der Mitgliedstaaten einigten sich auf eine neue Fassung der NIS-Richtlinie. Die EU-Kommission hatte einen ersten Entwurf der NIS-Richtlinie am 7. Februar 2013 vorgelegt und das Parlament am 13. März 2014 über eine eigene Position abgestimmt. Die Trilogverhandlungen gestalteten sich daraufhin zäh und gerieten ins Stocken. Umso bedeutender ist der nun erreichte Kompromiss.

Die NIS-Richtlinie ist Teil der europäischen Cybersicherheitsstrategie und zielt darauf, in der Europäischen Union ein harmonisiertes Sicherheitsniveau zu schaffen, um vor allem das Vertrauen in die digitale Wirtschaft zu stärken. Die Vorgaben richten sich sowohl an Unternehmen als auch an die Mitgliedstaaten selbst. Die Betreiber wichtiger Dienste aus den Bereichen  Energie, Transport, Gesundheit oder Finanzen (essential services) und Digitaldiensteanbieter wie eBay, Amazon oder Google (digital service providers) sollen verpflichtet werden, besser gegen Risiken zu schützen und Sicherheitsvorfälle den zuständigen Behörden zu melden. Soziale Netzwerke sollen jedoch von den Verpflichtungen ausgenommen sein. Im Datenschutzrecht bestehen bereits Verpflichtungen zum Schutz personenbezogener Daten und mit der Datenschutz-Grundverordnung werden die Verantwortlichen künftig dazu verpflichtet, Verletzungen dieses Schutzes zu melden. Die großen Internetkonzerne würden durch die NIS-Richtlinie unabhängig der Verletzung personenbezogener Daten dazu verpflichtet, schwere Hackerangriffe auf ihre Systeme zu melden. Kleine digitale Unternehmen mit bis zu 50 Mitarbeitern werden aus dem Anwendungsbereich herausgenommen.

Vorgesehen in der neuen Entwurfsvorlage ist außerdem der Aufbau einer strategischen Kooperationsgruppe (strategic cooperation group), die den Austausch von Informationen und bewährten Verfahren im Umgang mit IT-Sicherheitsschwachstellen und den Aufbau von Kapazitäten in den Mitgliedstaaten fördern soll. Die Europäische Agentur für Netz- und Informationssicherheit (ENISA) wird dabei sicherlich eine bedeutendere Rolle spielen. Die IT-Notfallteams (Cyber Security Incidents Response Teams – CSIRTS) sollen operativ und grenzüberschreitend den Umgang mit Sicherheitsvorfällen koordinieren. Angedacht war hier, dass die Mitgliedstaaten untereinander Frühwarnungen bei sich verbreitenden Risiken herausgeben.

Bei dem neuen Entwurf handelt es sich um einen vorläufigen Kompromiss, dem noch die Vertreter des Binnenmarktausschusses im Parlament und der Ausschuss der Ständigen Vertreter der Mitgliedstaaten zustimmen müssen. Das in Deutschland in Kraft getretene IT-Sicherheitsgesetz setzt die Richtlinie bereits teilweise um, insbesondere mit den Sicherheitsanforderungen und Meldepflichten für Betreiber kritischer Infrastrukturen und den neuen Pflichten für Telemediendienste wie Webseitenanbieter. Eine vergleichbare Entwicklung zeichnet sich in den USA ab, wo der US Senate dem lang verhandelten Cybersecurity Information Sharing Act (CISA) nun zugestimmt hat. Die Idee ist vergleichbar mit den europäischen Vorhaben. Die Unternehmen sollen Informationen über Sicherheitsvorfälle teilen, um selber von dem Datenpool profitieren und sich besser schützen zu können.

Wie wirksam die NIS-Richtlinie letztlich sein wird, kann erst beurteilt werden, wenn der endgültige Text vorliegt. Erst dann ist auch einschätzbar, inwieweit das IT-Sicherheitsrecht in Deutschland weiter angepasst werden muss. Schon jetzt aber ist zu begrüßen, dass in den Unternehmen das Interesse an mehr Sicherheit steigt und dadurch die Verbraucher besser geschützt werden.

This post is part of a weekly series of articles by doctoral canditates of the Alexander von Humboldt Institute for Internet and Society. It does not necessarily represent the view of the Institute itself. For more information about the topics of these articles and asssociated research projects, please contact info@hiig.de.

This post represents the view of the author and does not necessarily represent the view of the institute itself. For more information about the topics of these articles and associated research projects, please contact info@hiig.de.

Hannfried Leisterer, Dr.

Former associate doctoral Researcher: Global Constitutionalism and the Internet

Explore Research issue in focus

Du siehst eine Tastatur auf der eine Taste rot gefärbt ist und auf der „Control“ steht. Eine bildliche Metapher für die Regulierung von digitalen Plattformen im Internet und Data Governance. You see a keyboard on which one key is coloured red and says "Control". A figurative metaphor for the regulation of digital platforms on the internet and data governance.

Data governance

We develop robust data governance frameworks and models to provide practical solutions for good data governance policies.

Sign up for HIIG's Monthly Digest

and receive our latest blog articles.

Further articles

two Quechuas, sitting on green grass and looking at their smartphones, symbolising What are the indigenous perspectives of digitalisation? Quechuas in Peru show openness, challenges, and requirements to grow their digital economies

Exploring digitalisation: Indigenous perspectives from Puno, Peru

What are the indigenous perspectives of digitalisation? Quechuas in Peru show openness, challenges, and requirements to grow their digital economies.

eine mehrfarbige Baumlandschaft von oben, die eine bunte digitale Publikationslandschaft symbolisiert

Diamond OA: For a colourful digital publishing landscape

The blog post raises awareness of new financial pitfalls in the Open Access transformation and proposes a collaborative funding structure for Diamond OA in Germany.

a pile of crumpled up newspapers symbolising the spread of disinformation online

Disinformation: Are we really overestimating ourselves?

How aware are we of the effects and the reach of disinformation online and does the public discourse provide a balanced picture?