euzeitung.de Brüssel – Strassburg – Berlin
Firmen, die wesentliche Dienste wie zum Beispiel im Energie-, Verkehrs-, Banken- und Gesundheitsbereich anbieten, oder Internetdienste wie Suchmaschinen oder Cloud-Dienste, werden Maßnahmen ergreifen müssen, um ihre Widerstandsfähigkeit gegen Cyberangriffe zu verbessern. Darauf zielen die ersten EU-weiten Vorschriften für Cybersicherheit ab, die das Parlament am Mittwoch angenommen hat.
Die Festlegung gemeinsamer Cybersicherheitsstandards und Verstärkung der Zusammenarbeit zwischen EU-Ländern werden Unternehmen dabei unterstützen, sich zu schützen, und ebenso dabei helfen, Angriffe auf die verknüpften Infrastrukturnetze der EU-Mitgliedstaaten zu vermeiden, sagen die Abgeordneten.
„Durch den Ausbau von Cybersicherheits-Kapazitäten und der Kooperation in der EU wird die NIS-Richtlinie dazu beitragen, Cyber-Angriffe künftig zu verhindern“, sagte der Berichterstatter Andreas Schwab (EVP, DE).
„Die Richtlinie ist auch einer der ersten Rechtsrahmen, der Plattformen in seinen Anwendungsbereich aufgenommen hat. In Einklang mit der Strategie für einen digitalen Binnenmarkt führt die Richtlinie harmonisierte Anforderungen an Plattformen ein und legt fest, dass Plattformen die gleichen Regeln erwarten können, ganz gleich in welchem Mitgliedstaat der EU sie operieren. Das ist ein großer Erfolg und ein wichtiger erster Schritt um einen umfassenden Regulierungsrahmen für Plattformen in der EU zu schaffen“, fügte er hinzu.
EU-Mitglieder müssen Anbieter „wesentlicher Dienste“ bestimmen
Die neuen EU-Vorschriften legen verbindliche Sicherheitsbestimmungen und Berichtspflichten für „Betreiber wesentlicher Dienste“ im Energie-, Verkehrs-, Banken- und Gesundheitsbereich oder bei der Trinkwasserversorgung fest. Die EU-Mitglieder müssen diese Betreiber bzw. Dienste im Einklang mit bestimmten Kriterien feststellen, zum Beispiel ob der betreffende Dienst für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten wesentlich ist, und ob ein Sicherheitsvorfall eine erhebliche Störung seiner Bereitstellung bewirken würde.
Einige Anbieter digitaler Dienste – Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste – müssen ebenfalls Maßnahmen ergreifen, um die Sicherheit ihrer Infrastruktur zu gewährleisten, und werden verpflichtet, größere Zwischenfälle den nationalen Behörden zu melden. Die Sicherheits- und Berichtspflichten sind für diese Anbieter jedoch weniger streng. Kleinst- und Kleinunternehmen sind von diesen Pflichten ausgenommen.
Mechanismen für EU-weite Zusammenarbeit
Mit den neuen Vorschriften wird eine strategische „Kooperationsgruppe“ geschaffen, um Informationen auszutauschen und Mitgliedstaaten beim Kapazitätsaufbau im Bereich Cybersicherheit zu unterstützen. Jedes EU-Land wird verpflichtet, eine nationale NIS-Strategie festzulegen.
Die EU-Länder müssen ebenfalls ein Netz von Computer-Notfallteams (CSIRT – Computer Security Incident Response Teams) schaffen, um Sicherheitsvorfälle und -risiken zu bewältigen, grenzübergreifende Sicherheitsfragen zu erörtern und gemeinsame Antworten zu finden. Die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) wird bei der Umsetzung dieser Richtlinie eine Schlüsselrolle spielen, insbesondere in Bezug auf die Zusammenarbeit. Auf die Notwendigkeit, Datenschutzvorschriften zu respektieren, wird an mehreren Stellen in der Richtlinie hingewiesen.
Die nächsten Schritte
Die NIS-Richtlinie wird bald in Amtsblatt der EU veröffentlicht und am 20. Tag nach der Veröffentlichung in Kraft treten. Die Mitgliedstaaten müssen die Bestimmungen dann binnen 21 Monaten in nationales Recht umsetzen. Sie haben dann sechs weitere Monate, bis die „Betreiber wesentlicher Dienste“ feststehen müssen.
