Das künftige Gesetz, das Ergebnis einer informellen Vereinbarung zwischen dem Europäischen Parlament und dem Rat vom 7. Dezember, muss noch vom Plenum des Europäischen Parlaments und vom Rat gebilligt werden.
Die neue Richtlinie zur Erreichung eines höheren gemeinsamen Sicherheitsniveaus für Netze und Informationssysteme in der Europäischen Union (NIS) zielt darauf ab, die derzeitige Fragmentierung der 28 nationalen Cybersicherheitssysteme zu beenden. Dazu wird eine Liste kritischer Dienstleistungssektoren bzw. Unternehmen erstellt, die verpflichtet sind, besondere Maßnahmen zum Schutz vor künftigen Cyberangriffen zu ergreifen. Sie werden außerdem verpflichtet, alle schwerwiegenden Sicherheitsvorfälle den nationalen Behörden zu melden.
„Das Parlament hat sich nachdrücklich für die einheitliche Definition kritischer Sektoren wie Energie, Verkehr, Gesundheit und Bankwesen eingesetzt, die die neuen Regeln einhalten und schwerwiegende Cybervorfälle melden müssen. Die Mitgliedstaaten müssen zudem im Bereich Cybersicherheit enger zusammenarbeiten – Maßnahmen, die angesichts der jüngsten Sicherheitsangriffe in Europa noch wichtiger geworden sind“, erklärte der deutsche Parlamentssprecher Andreas Schwab (EVP) nach der Einigung über die NIS-Richtlinie im vergangenen Monat.
Liste der „wesentlichen Dienstleistungen“
Die EU-Mitgliedstaaten müssen in jedem der genannten Bereiche die „Betreiber wesentlicher Dienstleistungen“ anhand der gleichen Kriterien identifizieren: ob die Dienstleistung für die Gesellschaft und die Wirtschaft von grundlegender Bedeutung ist, ob sie von anderen Netzwerk- und Informationssystemen abhängt oder ob ein Vorfall erhebliche negative Auswirkungen auf die Dienstleistungserbringung oder die öffentliche Sicherheit haben könnte.
Bestimmte Anbieter digitaler Dienste, darunter bekannte Online-Händler wie eBay und Amazon, Suchmaschinen (z. B. Google) und Cloud-Speicheranbieter, müssen ebenfalls Maßnahmen zur Gewährleistung der Sicherheit ihrer Infrastruktur ergreifen und schwerwiegende Vorfälle den nationalen Behörden melden. Digitale KMU sind von der Richtlinie ausgenommen.
EU-weite Kooperationsmechanismen
: Um ein höheres Sicherheitsniveau in der gesamten EU zu gewährleisten und das Vertrauen zwischen den EU-Mitgliedstaaten zu stärken, sieht der Gesetzentwurf eine strategische „Kooperationsgruppe“ vor. Diese Gruppe soll Informationen und bewährte Verfahren austauschen, Leitlinien entwickeln und die Länder bei der Verbesserung ihrer Cybersicherheitskapazitäten unterstützen. Jeder Mitgliedstaat ist verpflichtet, eine eigene nationale NIS-Strategie zu verabschieden.
Jeder EU-Mitgliedstaat muss zudem ein „Netzwerk von Computer Security Incident Response Teams (CSIRT)“ einrichten, um Vorfälle und Risiken zu bearbeiten, grenzüberschreitende Sicherheitsfragen zu erörtern und mögliche koordinierte Maßnahmen zu ermitteln. Die Europäische Agentur für Cybersicherheit (ENISA) wird bei der Umsetzung der Richtlinie eine Schlüsselrolle spielen.
Die Notwendigkeit, den Schutz personenbezogener Daten zu respektieren, ist ein Thema, das im Gesetzentwurf immer wieder angesprochen wird.
Nächste Schritte:
Der Entwurf der NIS-Richtlinie wird nun von Rechtslinguisten geprüft, bevor er vom Rat und dem Parlament gebilligt wird. Anschließend wird er im Amtsblatt der EU veröffentlicht und tritt zwanzig Tage nach seiner Veröffentlichung in Kraft. Die Mitgliedstaaten haben weitere 21 Monate Zeit, die Richtlinie in nationales Recht umzusetzen, und zusätzliche sechs Monate, um die Betreiber wesentlicher Dienste zu bestimmen.
Hinweis: Informationssysteme, kritische Netzwerke und Dienste wie Online-Banking, Stromnetze oder Flughafensicherheit können durch Sicherheitsvorfälle aufgrund menschlichen Versagens, technischer Störungen oder böswilliger Angriffe beeinträchtigt werden. ENISA schätzt die jährlichen Verluste durch diese Vorfälle auf 260 bis 340 Milliarden Euro.
