Internet Gesellschaften an neuen EU-Cybersecurity Regeln zu sein

Von Julia Fioretti (Reuters)

Die sogenannte Netz- und Informationssicherheitsrichtlinie steckt in Gesprächen zwischen Mitgliedstaaten und EU-Gesetzgebern fest, da Unstimmigkeiten darüber bestehen, ob digitale Plattformen wie Suchmaschinen, soziale Netzwerke, E-Commerce-Sites und Cloud-Computing-Anbieter einbezogen werden sollen.

Die Mitglieder des Europäischen Parlaments möchten, dass das Gesetz nur Sektoren abdeckt, die sie für kritisch halten, wie Energie, Verkehr und Finanzen.

Doch nach monatelangen Verhandlungen sollen digitale Plattformen nun in den Geltungsbereich des Gesetzes fallen, allerdings mit weniger belastenden Sicherheitsauflagen, heißt es in dem Dokument, das keine näheren Angaben zu den Auflagen enthält.

Das Papier aus Luxemburg, das die rotierende Präsidentschaft der Europäischen Union innehat, schlägt einen leichteren Ansatz für digitale Serviceplattformen vor, die in der Regel keine direkte Verbindung zur physischen Infrastruktur haben, wie zum Beispiel ein Atomkraftunternehmen.

Jedes Unternehmen, das der gesetzlichen Definition einer digitalen Serviceplattform entspricht – die derzeit noch diskutiert wird –, wäre automatisch abgedeckt. Damit soll vermieden werden, dass die Mitgliedstaaten unterschiedliche Ansätze verfolgen und es zu einer Fragmentierung der 28 EU-Staaten kommt.

Für einen Cloud-Computing-Anbieter oder ein anderes digitales Unternehmen, das einen Dienst für einen Infrastrukturbetreiber bereitstellt, gelten gemäß dem Dokument dieselben Regeln wie für diesen Betreiber, die sich in den Diskussionen nach dem Sommer noch ändern könnten.

Internetfirmen müssen auch bei Sicherheitsverletzungen benachrichtigt werden, obwohl noch keine Einigung darüber besteht, ob diese obligatorisch oder freiwillig sein sollen.

Das Papier fordert die Mitgliedstaaten auf, auf einer Sitzung im September ihre Präferenzen zu äußern. Anschließend wird mit der Ausarbeitung eines vollständigen Rechtstextes begonnen.

Unternehmen aus der digitalen Welt wehren sich gegen eine Einbeziehung in den Anwendungsbereich des Gesetzes.

„Wir freuen uns, dass digitale Serviceplattformen einem anderen Regime unterliegen, sind aber enttäuscht über die mangelnde Anerkennung der Tatsache, dass das Sicherheitsrisiko durch die Nutzung der Cloud und nicht durch den Service selbst bestimmt wird“, sagte Chris Gow, Senior Manager für Regierungsangelegenheiten bei Cisco.

Die Europäische Kommission und einige Mitgliedstaaten sind der Ansicht, dass aufgrund der weit verbreiteten Nutzung von Internetdiensten und der Anzahl der Unternehmen, die auf das Internet angewiesen sind, auch Sicherheitsvorschriften und Berichterstattungspflichten gelten sollten.

Derzeit gibt es kein europaweites Cybersicherheitsgesetz, und nur Telekommunikationsbetreiber unterliegen den Meldepflichten für Vorfälle