Während Unternehmen in Europa noch mitten in der Umsetzung der NIS2-Richtlinie stecken, verhandelt Brüssel bereits die nächste große Reform: die Überarbeitung des Cybersecurity Act, kurz CSA2, die den Rahmen von 2019 ablösen und die Cyberresilienz der EU stärken soll. Damit stellt sich erneut die Frage, die über Erfolg oder Scheitern entscheidet.
Von Sven Janssen, Regional Vice President EMEA Central Sales bei Sophos.
Ist eine europäische Harmonisierung in der Cybersicherheit tatsächlich erreichbar, oder bleibt sie ein theoretisches Ziel? Für Unternehmen ist das alles andere als abstrakt, denn davon hängt ab, ob sie ihre Infrastrukturen wirksam absichern und zugleich die Compliance-Kosten in einem weiterhin fragmentierten Markt beherrschen können. Dass die nächste Reform schon verhandelt wird, während die vorige noch nicht überall umgesetzt ist, zeigt das eigentliche Problem in aller Deutlichkeit.
Die Ausgangslage ist ungleich. Ein ENISA-Bericht zeigt erhebliche Unterschiede zwischen den Mitgliedstaaten: Während einige bereits über fortschrittliche Cybersicherheitsfähigkeiten verfügen, bauen andere noch grundlegende Strukturen auf. Diese Kluft befeuert nationale, teils protektionistische Reflexe, die einen wirklich europäischen Ansatz bremsen.
CSA2 stärkt die Rolle der ENISA deutlich, unter anderem mit einem um mehr als 75 % erhöhten Budget und neuen operativen Aufgaben, von Bedrohungskatalogen über Warnmeldungen bis zu einer einheitlichen Plattform für die Meldung von Sicherheitsvorfällen. Diese Ressourcen müssen allerdings jahrzehntelange Investitionsungleichgewichte ausgleichen.
Und die Reform muss die Mitgliedstaaten davon überzeugen, einen Teil ihrer digitalen Souveränität abzugeben. CSA2 will zusätzliche nationale Anforderungen untersagen, sofern europäische Standards bereits existieren. Ob sich das in der Praxis durchsetzen lässt, ist offen.
Hinzu kommt, dass die EU in den vergangenen Jahren zahlreiche Regelwerke eingeführt hat, darunter NIS2, den Cyber Resilience Act und DORA. Diese Vielzahl schafft Unsicherheiten und Überschneidungen, und Unternehmen sehen sich mit unterschiedlichen, teils widersprüchlichen Anforderungen konfrontiert.
NIS2 ist dafür das beste Beispiel: Obwohl auf Harmonisierung angelegt, fällt die Umsetzung national sehr unterschiedlich aus, weil jedes Land Schwellenwerte, Sektoren und Aufsichtsmechanismen an eigene Prioritäten anpasst.
Diese regulatorische Fragmentierung führt unmittelbar zu einer technischen Herausforderung. Standards für den Austausch von Bedrohungsinformationen werden uneinheitlich angewendet, und jeder Staat oder Sektor entwickelt eigene Instrumente. Ein umfassendes, kohärentes Lagebild der Bedrohungen auf europäischer Ebene entsteht so nicht, und gerade bei grenzüberschreitenden Vorfällen bleibt die Koordination schwierig.
Ein Fortschritt ist die künftig von der ENISA verwaltete europäische Schwachstellendatenbank. Wirksam wird sie aber nur, wenn sie mit bestehenden internationalen Systemen interoperabel ist, sonst erschwert sie das Management von Schwachstellen und Lieferketten zusätzlich.
Bei den Lieferketten kann die Kommission künftig Anbieter oder Länder als Hochrisikopartner einstufen und ihren Einsatz in kritischen Infrastrukturen beschränken. Die entscheidende Frage ist, ob Europa über ausreichende technologische Alternativen verfügt, um ausgeschlossene Lösungen zu ersetzen.
Eine Harmonisierung ohne tragfähige Alternativen würde die Wettbewerbsfähigkeit europäischer Unternehmen schwächen. Ebenso wenig darf die EU die internationale Dimension ausblenden: Global tätige europäische Unternehmen müssen sich auf weltweit anerkannte Standards stützen können.
Der CSA2 setzt die richtigen Ziele. Ob er sie erreicht, entscheidet sich nicht am Anspruch, sondern daran, ob aus vielen nationalen Wegen ein gemeinsamer wird.