Neue europäische Vorgaben für Internetsicherheit vereinbart

Im Rahmen des Trilogs unter der Ratspräsidentschaft Luxemburgs wurde am 7. Dezember eine Vereinbarung über die gemeinsamen Regelungen zur Stärkung der Netz- und Informationssicherheit (NIS) in Europa getroffen. Die Vertreter der Kommission, des Europäischen Parlaments und der Mitgliedstaaten einigten sich auf eine neue Fassung der NIS-Richtlinie. Die EU-Kommission hatte einen ersten Entwurf der NIS-Richtlinie am 7. Februar 2013 vorgelegt und das Parlament am 13. März 2014 über eine eigene Position abgestimmt. Die Trilogverhandlungen gestalteten sich daraufhin zäh und gerieten ins Stocken. Umso bedeutender ist der nun erreichte Kompromiss.

Die NIS-Richtlinie ist Teil der europäischen Cybersicherheitsstrategie und zielt darauf, in der Europäischen Union ein harmonisiertes Sicherheitsniveau zu schaffen, um vor allem das Vertrauen in die digitale Wirtschaft zu stärken. Die Vorgaben richten sich sowohl an Unternehmen als auch an die Mitgliedstaaten selbst. Die Betreiber wichtiger Dienste aus den Bereichen  Energie, Transport, Gesundheit oder Finanzen (essential services) und Digitaldiensteanbieter wie eBay, Amazon oder Google (digital service providers) sollen verpflichtet werden, besser gegen Risiken zu schützen und Sicherheitsvorfälle den zuständigen Behörden zu melden. Soziale Netzwerke sollen jedoch von den Verpflichtungen ausgenommen sein. Im Datenschutzrecht bestehen bereits Verpflichtungen zum Schutz personenbezogener Daten und mit der Datenschutz-Grundverordnung werden die Verantwortlichen künftig dazu verpflichtet, Verletzungen dieses Schutzes zu melden. Die großen Internetkonzerne würden durch die NIS-Richtlinie unabhängig der Verletzung personenbezogener Daten dazu verpflichtet, schwere Hackerangriffe auf ihre Systeme zu melden. Kleine digitale Unternehmen mit bis zu 50 Mitarbeitern werden aus dem Anwendungsbereich herausgenommen.

Vorgesehen in der neuen Entwurfsvorlage ist außerdem der Aufbau einer strategischen Kooperationsgruppe (strategic cooperation group), die den Austausch von Informationen und bewährten Verfahren im Umgang mit IT-Sicherheitsschwachstellen und den Aufbau von Kapazitäten in den Mitgliedstaaten fördern soll. Die Europäische Agentur für Netz- und Informationssicherheit (ENISA) wird dabei sicherlich eine bedeutendere Rolle spielen. Die IT-Notfallteams (Cyber Security Incidents Response Teams – CSIRTS) sollen operativ und grenzüberschreitend den Umgang mit Sicherheitsvorfällen koordinieren. Angedacht war hier, dass die Mitgliedstaaten untereinander Frühwarnungen bei sich verbreitenden Risiken herausgeben.

Bei dem neuen Entwurf handelt es sich um einen vorläufigen Kompromiss, dem noch die Vertreter des Binnenmarktausschusses im Parlament und der Ausschuss der Ständigen Vertreter der Mitgliedstaaten zustimmen müssen. Das in Deutschland in Kraft getretene IT-Sicherheitsgesetz setzt die Richtlinie bereits teilweise um, insbesondere mit den Sicherheitsanforderungen und Meldepflichten für Betreiber kritischer Infrastrukturen und den neuen Pflichten für Telemediendienste wie Webseitenanbieter. Eine vergleichbare Entwicklung zeichnet sich in den USA ab, wo der US Senate dem lang verhandelten Cybersecurity Information Sharing Act (CISA) nun zugestimmt hat. Die Idee ist vergleichbar mit den europäischen Vorhaben. Die Unternehmen sollen Informationen über Sicherheitsvorfälle teilen, um selber von dem Datenpool profitieren und sich besser schützen zu können.

Wie wirksam die NIS-Richtlinie letztlich sein wird, kann erst beurteilt werden, wenn der endgültige Text vorliegt. Erst dann ist auch einschätzbar, inwieweit das IT-Sicherheitsrecht in Deutschland weiter angepasst werden muss. Schon jetzt aber ist zu begrüßen, dass in den Unternehmen das Interesse an mehr Sicherheit steigt und dadurch die Verbraucher besser geschützt werden.

Dieser Beitrag ist Teil der regelmäßig erscheinenden Blogartikel der Doktoranden des Alexander von Humboldt Institut für Internet und Gesellschaft. Er spiegelt weder notwendigerweise noch ausschließlich die Meinung des Institutes wieder. Für mehr Informationen zu den Inhalten dieser Beiträge und den assoziierten Forschungsprojekten kontaktieren Sie bitte info@hiig.de.