Kommentar: EU-Rat fördert Ignoranz und Rückständigkeit bei IT-Sicherheit im eGovernment durch die Ablehnung der Meldepflicht für den öffentlichen Sektor bei Cyber-Angriffen

"Diese Privilegierung öffentlicher Stellen, Datensicherheitsvorfälle anders als Unternehmen nicht melden zu müssen, wirkt wie Klientelpolitik in eigener Sache. Es drängt sich der Gedanke auf, dass die öffentliche Hand ihre eigenen Netzwerke für unsicher und ihre eigenen Strukturen für nicht ausreichend organisiert hält, um das zu leisten, was der Privatwirtschaft - nicht zu Unrecht - abverlangt wird.“, so Rechtsanwalt Karsten Kinast, Fellow Analyst beim Analystenunternehmen KuppingerCole. Kinast weiter: „Eine Unschuldsvermutung zu Gunsten der öffentlichen Hand mag in anderen Belangen traditionell ein nicht völlig abwegiger Reflex gewesen sein. Das lag aber gerade auch daran, dass Behörden einer umfassenden Aufsicht unterlagen. Wenn nun auf einen wichtigen Bestandteil dessen, nämlich Transparenz, verzichtet wird, ist das ein denkbar schlechtes Zeichen. Eigentlich sollte derartige Geheimniskrämerei mit der Abschaffung von Geheimprozessen seit der französischen Revolution Geschichte sein."
 

Diese Entscheidung des EU-Rats bekommt im Licht der Ergebnisse der unlängst veröffentlichten Studie „Digital Risk and Security Awareness Survey“ von KuppingerCole eine besondere Note. Die Studie zeigt auf, dass sich rund ein Viertel der Behördenleiter überhaupt nicht um das Thema Cyber-Sicherheit kümmern. In der Industrie liegt dieser Wert bei niedrigen 8%, in der Finanzindustrie sogar bei nur rund 2,5%. „Dass man ausgerechnet den Sektor, der im Bereich Cyber-Sicherheit am stärksten hinterher hinkt, von den Benachrichtigungsregeln ausnimmt, hat mit Blick auf die generellen Schwächen der meisten EU-Staaten im eGovernment zwar eine gewisse Logik – wie soll man ein so komplexes Thema wie Cyber-Sicherheit beherrschen, wenn man schon an grundlegenden Aufgaben im eGovernment scheitert?“, meint Martin Kuppinger, Gründer und Principal Analyst bei KuppingerCole. „Tatsächlich müsste aber gerade der Fakt, dass viele Staaten sich mit dem Schritt zum eGovernment sehr schwer tun, ein Grund sein, ein besonderes Augenmerk auf die Sicherheit zu richten und Benachrichtigungsregeln auch zu nutzen, um eine Kontrollfunktion zu haben und einen Anreiz für bessere Sicherheit zu schaffen“, so Kuppinger. 
 

Auch ein Zitat aus einem Prüfbericht des Landesrechnungshofes Schleswig Holstein vom letzten August lautet: „Obwohl mehrere Kreise der Anregung des LRH aus der Prüfung 2004 gefolgt sind und einen behördlichen Datenschutzbeauftragten bestellt haben, hat sich das Datenschutzniveau nicht maßgeblich gesteigert. Datenschutzkonzepte und IT-Sicherheitskonzepte sind Mangelware. Fachdienste und IT-Stellen sind für das Thema weder hinreichend sensibilisiert noch qualifiziert. Grundelemente des Datenschutzes wie Verfahrensverzeichnis, Test und Freigabe oder Minimalprinzip werden nicht beachtet. Damit ist der IT-Einsatz in den meisten Fällen nicht ordnungsgemäß“.
 

Auch die vorgesehenen Regeln für den Umgang mit Benachrichtigungen hält KuppingerCole für nicht ausreichend. Dass Vorfälle nur einmal pro Jahr von den Mitgliedsstaaten an eine EU-Kooperationsgruppe gesendet werden müssen und die Öffentlichkeit nur von „einzelnen Pannen“ erfahren soll, reicht nicht aus. „In Anbetracht der Gefahren durch Cyber-Attacken auf Staaten, kritische Industrien, aber auch andere Unternehmen und Einzelpersonen, ist eine permanente Koordination und Reaktion auf solche Attacken erforderlich. Nur so lässt sich deren Ausmaß wirklich erkennen. Eine jährliche Koordination ist mit Blick auf die zunehmende Zahl von Zero Day Attacks definitiv nicht ausreichend“, sagt Martin Kuppinger. „Außerdem braucht es eindeutig definierte Regeln, wann die Öffentlichkeit in welcher Form über welche Attacken zu informieren ist. Die Öffentlichkeit hat einen Anspruch, informiert zu werden. Zudem lässt sich nur über eindeutige Vorgaben Rechtssicherheit herstellen.“
 

KuppingerCole empfiehlt dem EU-Parlament, die Änderungswünsche des EU-Rats zurückzuweisen und auf eine zeitgemäße Richtlinie für die Netz- und Informationssicherheit zu bestehen.
 

Journalisten können diesen Kommentar und alle weiteren KuppingerCole-Analysen kostenlos bei KuppingerCole anfordern. Um die Zusendung von Belegexemplaren oder Links zu Online-Publikationen bei Veröffentlichungen mit Bezug auf diesen Beitrag wird gebeten.