EU will Firmen zur Offenlegung von Hackerangriffen zwingen

Brüssel – Die EU will die Betreiber kritischer Infrastrukturen künftig zur Offenlegung von Hackerangriffen auf ihre Systeme zwingen. Nach Informationen der „Welt“ sind vor allem Bahnunternehmen und Fluggesellschaften, Gas- und Stromanbieter, Banken und Telekommunikationsbetreiber. Diesen Betreibern „kritischer Infrastrukturen“ soll künftig auferlegt werden, den jeweils zuständigen nationalen Behörden „gravierende Sicherheitsvorfälle zu melden“

So sieht es eine Beschlussvorlage für den zuständigen Binnenmarktausschuss des Europaparlaments vor, die im Januar zur Abstimmung kommen soll und der „Welt“ vorliegt. Unternehmen sollen jene Angriffe melden müssen, die „erhebliche Auswirkungen auf die Kontinuität der von ihnen bereitgestellten Kerndienste haben“, sieht die Vorlage für das Parlament vor. Sie sollen gegenüber den entsprechenden nationalen Behörden, in Deutschland wäre das Bundesamt für Sicherheit in der Informationstechnologie die Dauer der Angriffe ebenso angeben wie die betroffenen Nutzer und gegebenenfalls die geografische Ausbreitung der Attacke. „Diese Richtlinie ist aus politischer und wirtschaftlicher Sicht sinnvoll. Europa würde stabiler gegenüber Angriffen von außen. Darunter könnte man auch Spionagetätigkeiten verbuchen“, sagte der zuständige Berichterstatter des Europaparlaments, der CDU-Abgeordnete Andreas Schwab, der „Welt“. „Wir sollten die neuen Standards noch vor der Europawahl im Mai unter Dach und Fach bringen.“ Die geplante Richtlinie zur Netz- und Informationssicherheit in Europa, deren Vorschlag aus dem Haus der für die Digitale Agenda zuständigen EU-Kommissarin Neelie Kroes kommt, soll die „Abwehrbereitschaft erhöhen und die Zusammenarbeit untereinander verbessern“, so das Ziel der Richtline, sie soll damit die IT-Sicherheit auf ein gemeinsames Niveau bringen. Die entsprechenden Standards der 28 EU-Mitgliedsstaaten sind recht unterschiedlich, es gebe „große Unterschiede in Bezug auf Kapazitäten“ der Behörden, formuliert der Vorschlag. Anders als die Kommission will Berichterstatter Schwab die Meldepflicht auf „kritische Infrastrukturen im engeren Sinn“ beschränken, also auf Energie, Verkehr, Gesundheit, den Finanzmarkt und die Telekom-Branche, „damit die Verhältnismäßigkeit gewahrt wird und die Richtlinie rasch Ergebnisse zeitigt“, wie es in seinem Vorschlag heißt. „Für die Wettbewerbsfähigkeit der europäischen Unternehmen sind sichere Netzwerke ein nicht zu unterschätzender Standortfaktor“, sagte Schwab. Die Offenlegung gegenüber Behörden soll sanktionsbewehrt sein, die Öffentlichkeit nur von Angriffen erfahren, wenn „der Öffentlichkeit der Sachverhalt bekannt sein muss, damit weiteren Sicherheitsvorfällen vorgebeugt werden kann“, heißt es in Schwabs Bericht.