Heute hat die Kommission neue Vorschriften vorgeschlagen, um einheitliche Maßnahmen für die Cyber- und Informationssicherheit aller Organe, Einrichtungen und sonstigen Stellen der EU festzulegen. Angesichts der zunehmenden Zahl krimineller Cyberaktivitäten weltweit zielt der Vorschlag darauf ab, die Abwehrfähigkeit zu erhöhen und die Kapazitäten zur Reaktion auf Cyberbedrohungen und ‑sicherheitsvorfälle auszubauen sowie eine resiliente und sichere öffentliche Verwaltung zu gewährleisten.
EU-Kommissar Johannes Hahn, zuständig für Haushalt und Verwaltung, erklärte dazu:
„In einem vernetzten Umfeld kann ein einzelner Cybersicherheitsvorfall eine gesamte Organisation treffen. Aus diesem Grund ist es so wichtig, ein starkes Schutzschild gegen Cyberbedrohungen und Sicherheitsvorfälle zu schaffen, die unsere Handlungsfähigkeit beeinträchtigen können. Die Verordnungen, die wir heute vorschlagen, sind ein Meilenstein in der Cyber- und Informationssicherheitslandschaft der EU. Grundlage ist eine verstärkte Zusammenarbeit und gegenseitige Unterstützung zwischen den Organen, Einrichtungen und sonstigen Stellen der EU sowie eine koordinierte Abwehrbereitschaft und Reaktion. Es handelt sich um ein wahrhaft kollektives EU-Unterfangen.“
Im Kontext der COVID-19-Pandemie und der zunehmenden geopolitischen Herausforderungen ist ein gemeinsames Cyber- und Informationssicherheitskonzept unerlässlich. Vor diesem Hintergrund hat die Kommission eine Verordnung zur Cybersicherheit und eine Verordnung zur Informationssicherheit vorgeschlagen. Durch die Festlegung gemeinsamer Prioritäten und Rahmen werden diese Vorschriften die interinstitutionelle Zusammenarbeit erweitern, die Risikoexposition minimieren und die Sicherheitskultur der EU weiter stärken.
Cybersicherheitsverordnung
Die vorgeschlagene Cybersicherheitsverordnung sieht einen Rahmen für Governance, Risikomanagement und Kontrolle im Bereich der Cybersicherheit vor. Ferner sollen ein neuer interinstitutioneller Cybersicherheitsbeirat eingesetzt, die Cybersicherheitskapazitäten gestärkt sowie regelmäßige Bewertungen des Reifegrads und eine bessere Cyberhygiene gefördert werden. Außerdem wird das Mandat des Reaktionsteams für IT-Sicherheitsvorfälle für die Organe, Einrichtungen und sonstigen Stellen der EU (CERT-EU) erweitert, sodass es künftig als zentrale Stelle für den Austausch von Informationen über Cyberbedrohungen und die Koordinierung der Reaktion auf Sicherheitsvorfälle sowie als zentrales Beratungsgremium und als Diensteanbieter fungieren wird.
Schlüsselelemente des Vorschlags für eine Cybersicherheitsverordnung:
- Stärkung des Mandats des CERT-EU und Bereitstellung der Ressourcen, die das CERT-EU zur Wahrnehmung des Mandats benötigt;
- Alle Organe, Einrichtungen und sonstigen Stellen der EU müssen
- einen Rahmen für Governance, Risikomanagement und Kontrolle im Bereich der Cybersicherheit festlegen;
- ein Grundrepertoire von Cybersicherheitsmaßnahmen zur Bewältigung der ermittelten Risiken umsetzen;
- regelmäßige Reifebewertungen durchführen;
- einen von der jeweiligen Führungsebene genehmigten Plan zur Verbesserung ihrer Cybersicherheit aufstellen;
- Informationen zu Vorfällen über das CERT-EU untereinander weitergeben.
- Einsetzung eines neuen interinstitutionellen Cybersicherheitsbeirats, um die Umsetzung der Verordnung zu steuern und das CERT-EU zu lenken;
- Umbenennung des CERT-EU von „Reaktionsteam für IT-Sicherheitsvorfälle“ in „Cybersicherheitszentrum“ parallel zu Entwicklungen in den Mitgliedstaaten, aber unter Beibehaltung des Kurznamens „CERT-EU“ aufgrund seines Wiedererkennungswerts.
Informationssicherheitsverordnung
Mit der vorgeschlagenen Informationssicherheitsverordnung wird ein Mindestkatalog an Informationssicherheitsvorschriften und ‑standards für alle Organe, Einrichtungen und sonstigen Stellen der EU geschaffen, um für einen verbesserten und kohärenten Schutz vor den zunehmenden Bedrohungen ihrer Informationssicherheit zu gewährleisten. Diese neuen Vorschriften werden eine stabile Grundlage für einen sicheren Informationsaustausch zwischen den Organen, Einrichtungen und sonstigen Stellen der EU und mit den Mitgliedstaaten bilden, der auf standardisierten Verfahren und Maßnahmen zum Schutz von Informationsflüssen beruht.
Schlüsselelemente des Vorschlags für eine Informationssicherheitsverordnung:
- Einführung einer effizienten Governance zur Förderung der Zusammenarbeit aller Organe, Einrichtungen und sonstigen Stellen der EU in Form einer interinstitutionellen Informationssicherheitskoordinierungsgruppe;
- Festlegung eines gemeinsamen Konzepts für die Einstufung von Informationen nach dem Grad ihrer Vertraulichkeit;
- Modernisierung der jeweiligen Informationssicherheitspolitik unter uneingeschränkter Berücksichtigung von digitalem Wandel und Telearbeit;
- Straffung der gegenwärtigen Verfahrensweisen und größere Kompatibilität zwischen den einschlägigen Systemen und Geräten.
Hintergrund
In seiner Entschließung vom 9. März 2021 hob der Rat der Europäischen Union hervor, wie wichtig ein robuster und kohärenter Sicherheitsrahmen ist, um alle Mitarbeiter, Daten, Kommunikationsnetze und Informationssysteme der EU sowie Entscheidungsprozesse zu schützen. Dies kann nur durch die Stärkung der Abwehrfähigkeit und die Verbesserung der Sicherheitskultur der Organe, Einrichtungen und sonstigen Stellen der EU erreicht werden.
Nach der EU-Strategie für die Sicherheitsunion und der Cybersicherheitsstrategie der EU wird die heute vorgeschlagene Cybersicherheitsverordnung für Kohärenz mit der bestehenden EU-Cybersicherheitspolitik sorgen in voller Übereinstimmung mit den folgenden europäischen Rechtsvorschriften:
- Die Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS-Richtlinie) und die künftige Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS 2), die die Kommission im Dezember 2020 vorgeschlagen hat;
- Der Rechtsakt zur Cybersicherheit;
- Die Empfehlung der Kommission zum Aufbau einer gemeinsamen Cyber-Einheit;
- Die Empfehlung der Kommission zu einer koordinierten Reaktion der EU auf große Cybersicherheitsvorfälle und ‑krisen.
Angesichts der immer größeren Mengen an sensiblen Informationen und EU-Verschlusssachen, die von den Organen, Einrichtungen und sonstigen Stellen der Union behandelt werden, zielt die vorgeschlagene Informationssicherheitsverordnung darauf ab, den Schutz der Informationen zu erhöhen, indem die verschiedenen diesbezüglichen Rechtsrahmen der Organe, Einrichtungen und sonstige Stellen der EU gestrafft werden. Der Vorschlag steht im Einklang mit:
- der EU-Strategie für die Sicherheitsunion, die eine umfassende Verpflichtung der EU enthält, die Bemühungen der Mitgliedstaaten in allen Sicherheitsbereichen zu ergänzen;
- dem zentralen Element der strategischen Agenda 2019-2024, die der Rat im Juni 2019 angenommen hat, um unsere Gesellschaften vor den immer weiter zunehmenden Bedrohungen der von Organen, Einrichtungen und sonstigen Stellen der EU behandelten Informationen zu schützen;
- den Schlussfolgerungen des Rates (Allgemeine Angelegenheiten) vom Dezember 2019, in der die Organe, Einrichtungen und sonstigen Stellen der EU aufgefordert wurden, mit Unterstützung der Mitgliedstaaten ein umfassendes Paket von Maßnahmen zur Sicherung ihrer Sicherheit zu entwickeln und umzusetzen.
Weitere Informationen
Einzelheiten
- Datum der Veröffentlichung
- 22. März 2022
- Autor
- Vertretung in Luxembourg