Was passiert, wenn ein ausländischer Staat im Konfliktfall unsere Stromversorgung lahmlegen kann? Wenn Mobilfunknetze ausfallen, Krankenhäuser nicht mehr arbeiten können oder Offshore-Windparks von außen abgeschaltet werden? Was nach einem Szenario aus einem Spionagethriller klingt, ist angesichts zunehmender Cyberangriffe und unserer technologischen Abhängigkeiten ein reales Sicherheitsrisiko. Denn ein großer Teil der digitalen Technik, auf die Europas kritische Infrastruktur angewiesen ist, stammt von Unternehmen außerhalb der Europäischen Union.

Die Europäische Kommission hat deshalb im Januar eine umfassende Neufassung des europäischen Cybersicherheitsgesetzes vorgelegt. Der sogenannte Cybersecurity Act 2 soll Europas Infrastruktur besser gegen Cyberangriffe und gezielte Sabotage schützen. Neben strengeren Sicherheitsanforderungen sieht er erstmals verbindliche Regeln für den Umgang mit riskanten ausländischen Technologieanbietern vor. Damit wird Cybersicherheit zunehmend auch zu einer Frage der europäischen Sicherheits- und Verteidigungspolitik.

Wenn technologische Abhängigkeit zum Sicherheitsrisiko wird

Bisher konzentrierten sich europäische Cybersicherheitsvorschriften vor allem auf technische Schwachstellen: Wie sicher sind Programme und Geräte? Können noch bestehende Sicherheitslücken geschlossen und Angriffe abgewehrt werden? Der neue Cybersecurity Act geht einen entscheidenden Schritt weiter. Künftig soll auch berücksichtigt werden, von wem die eingesetzte Technologie stammt und ob Hersteller unter dem Einfluss ausländischer Regierungen stehen. Denn selbst technisch einwandfreie Systeme können zum Sicherheitsrisiko werden, wenn Hersteller durch staatliche Vorgaben zur Zusammenarbeit mit Geheimdiensten verpflichtet werden oder ausländische Regierungen Zugriffsmöglichkeiten besitzen. Besonders kritisch ist das bei Technologien, die für die Steuerung von Stromnetzen, Kommunikationssystemen oder anderen lebenswichtigen Einrichtungen benötigt werden. Dazu gehören auch der Bahnverkehr, Flughäfen und die Ladeinfrastruktur für Elektrofahrzeuge.

„Der Cybersecurity Act muss in der EU für ein höchstmögliches Sicherheitsniveau von Netzen und Informationssystemen sorgen“, fordert Jens Geier. „Heute geht es nicht mehr nur um wirtschaftliche Schäden und Datenklau, sondern um die Widerstandsfähigkeit gegen gezielte Sabotage von kritischer Infrastruktur wie Kommunikationseinrichtungen, Energieversorgung und Krankenhäuser.“

Verbindliche Regeln gegen gefährliche Abhängigkeiten

Die Kommission schlägt deshalb einen gemeinsamen europäischen Rahmen zur Bewertung von Lieferketten für die Informations- und Kommunikationstechnologie (ICT) vor. Hersteller, von denen besondere Sicherheitsrisiken ausgehen, könnten künftig als Hochrisikoanbieter eingestuft werden. Für besonders sensible Bereiche sollen ihre Produkte und Komponenten dann ausgeschlossen werden können.

Besonders weitreichend sind die Vorschläge für Mobilfunknetze. Betreiber sollen zentrale Komponenten von als riskant eingestuften Herstellern innerhalb von 36 Monaten austauschen müssen. Damit würden aus bisherigen Empfehlungen erstmals verbindliche europäische Vorgaben.

Der Vorschlag ist allerdings auch umstritten. Telekommunikationsunternehmen warnen vor hohen Kosten und technischen Schwierigkeiten beim Austausch bereits verbauter Anlagen. Zudem müssen sichere Alternativen verfügbar sein, damit nicht neue Abhängigkeiten entstehen.

Für Jens ist das eine zentrale Abwägung: „Wir können es uns nicht leisten, aus Kostengründen Sicherheitsrisiken dauerhaft in Kauf zu nehmen. Gleichzeitig müssen die neuen Vorschriften technisch umsetzbar sein. Wer bestehende Anlagen austauschen muss, braucht realistische Fristen und verlässliche Alternativen. Aber das ist alles machbar.“

Mehr Schlagkraft für Europas Cyberabwehr

Neben strengeren Vorgaben für IT-Lieferketten soll auch die europäische Cybersicherheitsagentur ENISA gestärkt werden. Sie soll zusätzliche finanzielle und personelle Mittel erhalten, um Bedrohungen früher zu erkennen, die Zusammenarbeit zwischen den Mitgliedstaaten zu verbessern und bei größeren Cyberangriffen schneller Unterstützung zu leisten.

Eine besondere Herausforderung ist dabei die rasante Entwicklung Künstlicher Intelligenz. KI ermöglicht immer ausgefeiltere Cyberangriffe, eröffnet aber gleichzeitig neue Möglichkeiten, Bedrohungen frühzeitig zu erkennen und abzuwehren. Die ENISA muss deshalb personell, technisch und finanziell in die Lage versetzt werden, mit dieser Entwicklung Schritt zu halten. Dazu gehört auch die gezielte Aus- und Weiterbildung von Fachkräften. Denn selbst die besten Sicherheitsvorschriften helfen wenig, wenn es an qualifiziertem Personal fehlt, das Angriffe erkennen und Schutzmaßnahmen umsetzen kann.

Gleichzeitig will die Kommission die europäischen Sicherheitsstandards vereinheitlichen und Zertifizierungsverfahren beschleunigen. Unternehmen sollen leichter nachweisen können, dass ihre Produkte, Dienstleistungen und IT-Systeme die europäischen Sicherheitsanforderungen erfüllen.

Auch die bestehende NIS-2-Richtlinie (zweite Richtlinie zur Sicherung von Netz- und Informationssystemen) soll angepasst werden. Sie verpflichtet Unternehmen und Einrichtungen in besonders wichtigen Wirtschaftsbereichen zu umfassenden Sicherheitsmaßnahmen. Vereinfachungen und klarere Zuständigkeiten sollen künftig rund 28.700 Unternehmen entlasten, ohne das angestrebte Sicherheitsniveau zu senken.

Jens Geier verhandelt für die Sozialdemokraten

Über den neuen Cybersecurity Act wird derzeit im Europäischen Parlament beraten. Federführend ist der Ausschuss für Industrie, Forschung und Energie. Jens Geier wurde dort zum Schattenberichterstatter der sozialdemokratischen S&D-Fraktion ernannt. In dieser Funktion verhandelt er die Position seiner Fraktion und die Kompromisse mit den anderen politischen Gruppen. Im Mittelpunkt steht dabei die Frage, wie Europa seine kritische Infrastruktur konsequent absichern und gefährliche technologische Abhängigkeiten reduzieren kann, ohne die Betreiber mit unnötiger Bürokratie oder kaum umsetzbaren Anforderungen zu belasten. „Europa muss seine digitale Infrastruktur selbst schützen können. Dabei geht es nicht darum, jede Technologie aus dem Ausland auszuschließen. Entscheidend ist, dass wir bei unserer kritischen Infrastruktur keine Abhängigkeiten akzeptieren, die im Ernstfall gegen uns eingesetzt werden können“, betont Jens.

Die Beratungen im Industrieausschuss laufen. Bevor das Gesetz verabschiedet werden kann, müssen sich das Europäische Parlament und die Mitgliedstaaten auf gemeinsame Regeln verständigen.