EU-Cyberschutz: EU-Staaten teilen zu wenig Daten über Cyberangriffe
Eine Prüfung des Europäischen Rechnungshofs kommt zu dem Ergebnis, dass die Maßnahmen der Europäischen Union die Erkennung und Bewältigung von Cybersicherheitsvorfällen sowie Krisen nur teilweise erleichtern.
In einem Sonderbericht(öffnet im neuen Fenster) bemängelt der Rechnungshof, dass zwar schrittweise ein Kooperationsrahmen geschaffen und mit dem Cyber-Konzeptentwurf Rollen und Zuständigkeiten definiert worden sei, die Ausgestaltung des Gesamtsystems aber immer noch unvollständig sei.
Als zentraler Schwachpunkt wird der stark begrenzte Informationsaustausch zwischen den Mitgliedstaaten genannt, welcher den Mehrwert europäischer Netzwerke wie dem CSIRTs-Netzwerk und dem EU-Cyclone erheblich verringere.
Verzögerungen bei der Umsetzung von NIS-2
Als Ursachen nennt der Rechnungshof Verzögerungen bei der nationalen Umsetzung der NIS-2-Richtlinie, rechtliche Hürden durch nationale Sicherheitsgesetze, Vorbehalte bei der Weitergabe vertraulicher Daten sowie fehlende Kriterien zur Erkennung grenzübergreifender Auswirkungen.
Zudem fehlen dem Bericht zufolge bislang formelle Verfahrensregelungen für die Kooperation beider Netzwerke und eine gemeinsame Taxonomie zur eindeutigen Einstufung von Sicherheitsvorfällen.
Bei neu geschaffenen EU-Mechanismen zeigen sich laut Rechnungshof deutliche Verzögerungen und Effizienzmängel. So waren etwa das europäische Warnsystem für Cybersicherheit und seine grenzübergreifenden Cyber-Hubs (wie Athena und Ensoc) wegen langwieriger Beschaffungsverfahren zum Prüfungszeitpunkt noch nicht betriebsbereit.
Operative Probleme und beträchtliche Verzögerungen
Parallel dazu überschneiden sich die Aufgaben des Cyber-Lagezentrums der EU-Kommission teilweise mit bestehenden Analyselösungen der Enisa, während bei der EU-Cybersicherheitsreserve das Risiko besteht, dass Mittel primär für präventive Abwehrbereitschaft statt für die tatsächliche Vorfallsreaktion eingesetzt werden.
Herausforderungen bestehen ebenfalls bei den EU-finanzierten Projekten im Rahmen des Programms Digitales Europa (Digital). Obwohl die geförderten Vorhaben relevante Ziele zur Erhöhung der Cybersicherheit verfolgen, leiden viele Projekte unter operativen Problemen und beträchtlichen Zeitverzögerungen.
Zudem führten Verzögerungen bei der Erlangung der Autonomie des Europäischen Kompetenzzentrums für Cybersicherheit (ECCC) dazu, dass die vorgesehene Kompetenzgemeinschaft nicht rechtzeitig in die Gestaltung der Arbeitsprogramme eingebunden werden konnte.
Gefährdung kritischer Infrastrukturen und Technologien
Schließlich identifizierte der Rechnungshof noch gravierende Risiken bei der Sicherheitsprüfung und Leistungsüberwachung. Bei der Weitervergabe von Mitteln an Dritte überprüfe das ECCC weder die Prüfmethoden noch die Kapazitäten der Begünstigten hinsichtlich der Eigentums- und Kontrollverhältnisse, was kritische Infrastrukturen und Technologien gefährden könne.
Darüber hinaus sei der Rahmen zur Überwachung von Projektleistungen mangelhaft ausgestaltet, da viele Leistungsindikatoren nicht messbar seien und die offiziell gemeldeten Programmdaten die tatsächlichen Ergebnisse nicht korrekt widerspiegelten.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.