Europäisches Parlament will Sicherheitsvorgaben verschärfen.

Die Beratungen über das im Januar von der Europäischen Kommission vorgelegte Cybersecurity-Paket schreiten im Europäischen Parlament voran. Am 8. Oktober stellte die Berichterstatterin Markéta Gregorová (Grüne/EFA) im federführenden Ausschuss für Industrie, Forschung und Energie (ITRE) ihre Berichtsentwürfe zum Cybersecurity Act 2 (CSA 2) und zur Anpassung der NIS-2-Richtlinie vor. Sie unterstützt grundsätzlich die Ziele der Kommission, schlägt jedoch insbesondere bei der Sicherheit kritischer Lieferketten und der Cybersicherheitszertifizierung weitergehende Maßnahmen vor.

Strengere Anforderungen an kritische IKT-Lieferketten

Ein Schwerpunkt des CSA 2 liegt auf der Verringerung von Sicherheitsrisiken in den Lieferketten der Informations- und Kommunikationstechnik. Dazu gehören beispielsweise Hersteller und Anbieter von Hard- und Software, die in digitalen Systemen eingesetzt werden. Sicherheitsrisiken können entstehen, wenn einzelne Komponenten Schwachstellen aufweisen, die unbefugten Zugriff auf sensible Daten und Systeme ermöglichen.

Der Kommissionsvorschlag sieht hierfür einen einheitlichen europäischen Rahmen vor, um insbesondere Abhängigkeiten von Hochrisikolieferanten aus Drittstaaten zu reduzieren. Gregorová möchte dabei einen anderen Ansatz verfolgen: Während die Kommission zunächst die Sicherheitsrisiken bewertet, die von bestimmten Drittstaaten ausgehen, sollen nach ihrem Vorschlag die einzelnen Anbieter direkt überprüft werden. Damit könnten mögliche Risiken unabhängig vom Herkunftsland eines Unternehmens gezielter erfasst und mögliche Umgehungsstrategien, etwa über Zwischenhändler oder über Lizenzvereinbarungen, besser verhindert werden.

Zudem soll der Anwendungsbereich der Risikobewertungen erweitert werden. Neben Telekommunikationsnetzen sollen weitere kritische Technologien berücksichtigt werden, darunter intelligente Stromzähler, Router, Wechselrichter und medizinische Bildgebungsgeräte.

Cybersicherheitszertifizierung soll verbindlicher werden

Auch beim europäischen Zertifizierungsrahmen für Cybersicherheit geht der Berichtsentwurf über den Kommissionsvorschlag hinaus. Mit solchen Zertifizierungen lässt sich nachweisen, dass digitale Produkte, Dienste und Prozesse festgelegte Sicherheitsanforderungen erfüllen und ausreichend gegen Cyberangriffe geschützt sind.

Während die Kommission vor allem schnellere, flexiblere und transparentere Zertifizierungsverfahren anstrebt, spricht sich Gregorová für eine grundsätzlich verpflichtende Zertifizierung aus.

Damit soll die Einhaltung gemeinsamer europäischer Sicherheitsanforderungen stärker abgesichert werden. Für Anbieter und Nutzer digitaler Produkte und Dienste könnten dadurch zusätzliche Anforderungen entstehen.

Meldepflichten bei Cybervorfällen vereinfachen

Ein weiterer Schwerpunkt ist die Vereinfachung bestehender Meldepflichten bei Cybersicherheitsvorfällen. Bislang müssen Unternehmen und Einrichtungen einen Sicherheitsvorfall unter Umständen nach mehreren europäischen Rechtsvorschriften an unterschiedliche Behörden melden. Das kann zu Doppelmeldungen und zusätzlichem Verwaltungsaufwand führen.

Um die Verfahren zu vereinfachen, hatte die Kommission bereits im Rahmen des Digital-Omnibus eine zentrale Meldestelle bei der EU-Agentur für Cybersicherheit (ENISA) vorgeschlagen. Gregorová möchte diesen Ansatz weiter stärken: Unternehmen und Einrichtungen sollen Sicherheitsvorfälle künftig über eine einzige Anlaufstelle melden und damit gleichzeitig ihre Verpflichtungen aus mehreren europäischen Rechtsakten erfüllen. Dazu zählen beispielsweise die NIS-2-Richtlinie zur Cybersicherheit und die Datenschutz-Grundverordnung (DSGVO), die bei Verletzungen des Schutzes personenbezogener Daten Meldepflichten vorsieht.

Die parallel vorgeschlagenen Änderungen der NIS-2-Richtlinie sollen zudem für mehr Rechtsklarheit sorgen, den Verwaltungsaufwand verringern und eine einheitlichere Anwendung der europäischen Cybersicherheitsvorgaben ermöglichen.

Bedeutung für die Deutsche Sozialversicherung

Für die Deutsche Sozialversicherung sind insbesondere die geplanten Änderungen bei der Cybersicherheitszertifizierung, der Sicherheit kritischer IKT-Lieferketten und der Meldung von Sicherheitsvorfällen relevant. Denn die Sozialversicherungsträger verarbeiten umfangreiche sensible personenbezogene Daten und müssen gleichzeitig komplexe, teilweise überlappende europäische und nationale Meldepflichten bei Sicherheitsvorfällen erfüllen.

Die geplante zentrale Meldestelle bei der EU-Agentur für Cybersicherheit bietet die Chance, Doppelmeldungen zu vermeiden und den administrativen Aufwand für die Sozialversicherungsträger zu reduzieren. Aus Sicht der Deutschen Sozialversicherung ist es daher wichtig, die verschiedenen europäischen Cybersicherheitsvorschriften aufeinander abzustimmen und bestehende nationale Meldeverfahren angemessen zu berücksichtigen. Ziel der weiteren parlamentarischen Beratungen sollte es daher sein, ein hohes Cybersicherheitsniveau mit möglichst einfachen und praxistauglichen Verfahren zu verbinden.

Nächste Schritte im Europäischen Parlament.

Die Frist für Änderungsanträge zu beiden Berichtsentwürfen endete am 13. Oktober. Im nächsten Schritt werden die Abgeordneten über mögliche Kompromisse beraten, bevor der Industrieausschuss seine Position festlegt. Der Termin für die Abstimmung im Ausschuss steht noch nicht fest.