GEMEINSAME MITTEILUNG AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT GEMEINSAME MITTEILUNG AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

Die Cybersicherheitsstrategie der EU für die digitale Dekade

I.EINLEITUNG: EIN DIGITALER WANDEL UNTER WAHRUNG DER CYBERSICHERHEIT IN EINEM KOMPLEXEN BEDROHUNGSUMFELD

Cybersicherheit ist ein integraler Bestandteil der Sicherheit der Europäerinnen und Europäer. Unabhängig davon, ob es sich um vernetzte Geräte, Stromnetze oder Banken, Flugzeuge, öffentliche Verwaltungen oder Krankenhäuser handelt, die sie nutzen oder aufsuchen, verdienen die Menschen dabei die Gewissheit, dass sie vor Cyberbedrohungen geschützt werden. Wirtschaft, Demokratie und Gesellschaft in der EU hängen mehr denn je von sicheren und zuverlässigen digitalen Instrumenten und Verbindungen ab. Die Cybersicherheit ist daher von entscheidender Bedeutung, um ein resilientes, grünes und digitales Europa aufzubauen.

Verkehr, Energie und Gesundheit, Telekommunikation, Finanzen, Sicherheit, demokratische Prozesse, Raumfahrt und Verteidigung hängen stark von Netz- und Informationssystemen ab, die zunehmend miteinander verbunden sind. Sektorübergreifende wechselseitige Abhängigkeiten sind stark ausgeprägt, da Netze und Informationssysteme wiederum eine stetige Versorgung mit Strom benötigen. Die Zahl der vernetzten Geräte übersteigt bereits jetzt die Zahl der Menschen auf der Erde und dürfte Prognosen zufolge bis 2025 auf 25 Milliarden ansteigen: ein Viertel dieser Geräte wird sich in Europa befinden. Die Digitalisierung der Arbeitsweisen wurde durch die COVID-19-Pandemie beschleunigt. 40 % der Arbeitnehmer in der EU sind in dieser Zeit zur Telearbeit übergegangen, was vermutlich dauerhafte Auswirkungen auf den Alltag haben wird. Dies erhöht die Anfälligkeit für Cyberangriffe. Vernetzte Objekte werden häufig mit bekannten Schwachstellen an den Verbraucher geliefert, wodurch sich die Angriffsfläche für böswillige Cyberaktivitäten weiter vergrößert. Die Industrielandschaft in der EU ist zunehmend digitalisiert und vernetzt; dies bedeutet auch, dass Cyberangriffe weitaus größere Auswirkungen auf die Industrie und die Ökosysteme haben können als je zuvor.

Geopolitische Spannungen in Bezug auf das globale und offene Internet und die Kontrolle über die Technologien entlang der gesamten Lieferkette verschärfen die Bedrohungslage noch. Diese Spannungen spiegeln sich in der zunehmenden Zahl von Nationalstaaten wider, die digitale Grenzen errichten. Beschränkungen des Internets und im Internet bedrohen den globalen und offenen Cyberraum ebenso wie die Rechtsstaatlichkeit, die Grundrechte, die Freiheit und die Demokratie – die Grundwerte der EU. Der Cyberraum wird vermehrt für politische und ideologische Zwecke genutzt. Er wird zum Schauplatz einer zunehmenden Polarisierung auf internationaler Ebene, die einen wirksamen Multilateralismus behindert. Hybride Bedrohungen verknüpfen Desinformationskampagnen mit Cyberangriffen auf Infrastrukturen, Wirtschaftsabläufe und demokratische Institutionen. Sie können physischen Schaden verursachen, unrechtmäßig Zugriff auf personenbezogenen Daten oder den Diebstahl von Industrie- oder Staatsgeheimnissen ermöglichen, Misstrauen säen und den sozialen Zusammenhalt schwächen. Solche Aktivitäten untergraben die internationale Sicherheit und Stabilität wie auch die Vorteile des Cyberraums für die wirtschaftliche, soziale und politische Entwicklung.

Böswillige Angriffe auf kritische Infrastrukturen sind weltweit eine große Gefahr. Das Internet zeichnet sich durch eine dezentrale Architektur aus. Es hat keine zentrale Struktur und wird von vielen verschiedene Akteuren gemeinsam verwaltet. Es ist gelungen, den exponentiellen Anstieg des Datenverkehrs zu bewältigen, während das Internet gleichzeitig ein konstantes Ziel böswilliger Störungsversuche ist. Zugleich steigen die Abhängigkeiten von den Kernfunktionen des globalen und offenen Internets, wie dem Domänennamensystem (DNS), und wesentlichen Internetdiensten für Kommunikation und Hosting, Anwendungen und Daten. Diese Dienste konzentrieren sich zunehmend in der Hand einiger weniger privater Unternehmen. Dadurch ist die europäische Wirtschaft und Gesellschaft anfällig für geopolitische oder technische Störungen, die den Kern des Internets oder eines oder mehrere dieser Unternehmen betreffen können. Die zunehmende Internetnutzung und die sich infolge der Pandemie ändernden Nutzungsmuster haben die Störanfälligkeit der Lieferketten, die von dieser digitalen Infrastruktur abhängen, noch deutlicher gemacht.

Sicherheitsbedenken sind einer der wichtigsten Faktoren, die von der Nutzung von Online-Diensten abschrecken. Rund zwei Fünftel der Nutzerinnen und Nutzer in der EU hatten bereits Probleme mit der Sicherheit, und drei Fünftel fühlen sich nicht in der Lage, sich vor Cyberkriminalität zu schützen. Ein Drittel hat in den letzten drei Jahren betrügerische E-Mails oder Telefonanrufe erhalten, in denen personenbezogene Daten erfragt wurden, aber 83 % haben noch nie einen Fall von Cyberkriminalität gemeldet. Jedes achte Unternehmen war schon von Cyberangriffen betroffen. Mehr als die Hälfte der PCs von Unternehmen und Verbrauchern, die einmal mit Schadsoftware infiziert waren, sind es innerhalb desselben Jahres erneut. Jedes Jahr gehen Hunderte Millionen Datensätze durch Verletzungen des Datenschutzes verloren; die durchschnittlichen Kosten solcher Verletzungen in einem einzigen Unternehmen stiegen im Jahr 2018 auf über 3,5 Mio. EUR. Die Auswirkungen eines Cyberangriffs können häufig nicht isoliert werden. Vielmehr können sie in der gesamten Wirtschaft und Gesellschaft Kettenreaktionen auslösen, die Millionen von Einzelpersonen betreffen.

Bei fast allen Arten von Straftaten haben die Ermittlungen eine digitale Komponente. Im Jahr 2019 hat sich Berichten zufolge die Zahl der Vorfälle gegenüber dem Vorjahr verdreifacht. Es gibt schätzungsweise 700 Mio. neue Beispiele von Schadsoftware – dem häufigsten Mittel zur Vorbereitung eines Cyberangriffs. Die jährlichen Kosten der Cyberkriminalität für die Weltwirtschaft werden im Jahr 2020 auf 5,5 Billionen EUR geschätzt und liegen damit doppelt so hoch als im Jahr 2015. Dies stellt den größten Transfer wirtschaftlichen Reichtums in der Geschichte dar, der noch weit über dem weltweiten Drogenhandel liegt. Bei einem großen Cybervorfall – dem Ransomware-Angriff mit WannaCry – im Jahr 2017 wurden die Kosten für die Weltwirtschaft auf über 6,5 Mrd. EUR geschätzt.

Digitale Dienste und der Finanzsektor gehören neben dem öffentlichen Sektor und dem verarbeitenden Gewerbe zu den häufigsten Zielen von Cyberangriffen, doch die Bereitschaft und das Bewusstsein für Cyberangriffe bei Unternehmen und Einzelpersonen sind nach wie vor gering, und die Arbeitskräfte weisen einen erheblichen Mangel an Cybersicherheitskompetenzen auf. Im Jahr 2019 gab es fast 450 Cybersicherheitsvorfälle im Zusammenhang mit europäischen kritischen Infrastrukturen in Bereichen wie Finanzen und Energie. Gesundheitsorganisationen und Angehörige der Gesundheits- und Pflegeberufe wurden während der Pandemie besonders hart getroffen. Da Technik und physische Welt untrennbar miteinander verwoben sind, bringen Cyberangriffe das Leben und das Wohlergehen der verletzlichsten Menschen in Gefahr. Mehr als zwei Drittel der Unternehmen, insbesondere KMU, werden als „Neulinge“ im Bereich der Cybersicherheit betrachtet, und europäische Unternehmen gelten als weniger gut vorbereitet als Unternehmen in Asien und Amerika. Schätzungsweise 291 000 Stellen für Fachkräfte für Cybersicherheit sind in Europa unbesetzt. Die Einstellung und Schulung von Experten für Cybersicherheit ist ein langwieriger Prozess, der zu größeren Cybersicherheitsrisiken für Organisationen führt.

Der EU mangelt es an einem kollektiven Lagebewusstsein für Cyberbedrohungen. Dies ist darauf zurückzuführen, dass die nationalen Behörden Informationen aus dem Privatsektor, die dazu beitragen könnten, den Stand der Cybersicherheit in der EU einzuschätzen, nicht systematisch sammeln und austauschen. Nur ein Bruchteil der Vorfälle wird von den Mitgliedstaaten gemeldet, und der Informationsaustausch ist weder systematisch noch umfassend ; Cyberangriffe sind möglicherweise nur ein Aspekt konzertierter böswilliger Angriffe auf europäische Gesellschaften. Derzeit besteht nur eine begrenzte gegenseitige operative Unterstützung zwischen den Mitgliedstaaten, und es gibt keinen operativen Mechanismus zwischen den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der EU im Falle groß angelegter grenzüberschreitender Cybervorfälle oder ‑krisen.

Die Verbesserung der Cybersicherheit ist daher von entscheidender Bedeutung, damit die Menschen Vertrauen in die Innovation, Konnektivität und Automatisierung haben, diese nutzen und Vorteile daraus ziehen. Außerdem ist sie wesentlich für die Wahrung der Grundrechte und Grundfreiheiten, einschließlich des Rechts auf Privatsphäre und des Rechts auf Schutz personenbezogener Daten sowie der Meinungs- und Informationsfreiheit. Cybersicherheit ist unerlässlich für die Netzanbindung und das globale und offene Internet, das den Wandel in Wirtschaft und Gesellschaft in den 2020er Jahren unterstützen muss. Sie trägt zu mehr besseren Jobs, flexibleren Arbeitsplätzen, mehr Effizienz und Nachhaltigkeit in Verkehr und Landwirtschaft sowie zu einem leichteren und gerechteren Zugang zu Gesundheitsdiensten bei. Wegen grenzüberschreitender Netze und intelligenter Zähler sowie der Vermeidung einer unnötigen doppelten Datenspeicherung ist sie auch für den Übergang zu sauberer Energie im Rahmen des europäischen Grünen Deals von wesentlicher Bedeutung. Schließlich spielt sie eine entscheidende Rolle für die internationale Sicherheit und Stabilität und die Entwicklung der Volkswirtschaften, Demokratien und Gesellschaften weltweit. Behörden, Unternehmen und Einzelpersonen müssen daher digitale Instrumente verantwortungs- und sicherheitsbewusst einsetzen. Cybersicherheitsbewusstsein und ‑hygiene müssen den digitalen Wandel bei alltäglichen Aktivitäten unterstützen.

Die neue Cybersicherheitsstrategie der EU für die digitale Dekade ist ein Schlüsselelement für die Gestaltung der digitalen Zukunft Europas, den Aufbauplan der Kommission für Europa, die Strategie für eine Sicherheitsunion 2020–2025, die Globale Strategie für die Außen- und Sicherheitspolitik der EU und die Strategische Agenda 2019–2024 des Europäischen Rates. Darin wird dargelegt, wie die EU die Menschen, Unternehmen und Einrichtungen vor Cyberbedrohungen schützen, die internationale Zusammenarbeit voranbringen und bei der Sicherung eines globalen offenen Internets eine Führungsrolle übernehmen will.

II.GLOBAL DENKEN, EUROPÄISCH HANDELN

Mit dieser Strategie soll ein globales und offenes Internet mit starken Schutzvorkehrungen gewährleistet werden, um den Risiken für die Sicherheit, die Grundrechte und die Grundfreiheiten der Menschen in Europa zu begegnen. Ausgehend von den Fortschritten, die mit den vorherigen Strategien erzielt wurden, enthält sie konkrete Vorschläge für den Einsatz der drei Hauptinstrumente – Regulierung, Investitionen und Politikvorgaben –, mit denen drei Handlungsbereiche der EU angegangen werden sollen: 1) Resilienz, technologische Souveränität und Führungsrolle, 2) Aufbau operativer Kapazitäten zur Prävention, Abschreckung und Reaktion und 3) Förderung eines globalen offenen Cyberraums. Die EU setzt sich dafür ein, diese Strategie durch Investitionen in den digitalen Wandel in der EU in nie da gewesener Höhe über die nächsten sieben Jahren zu unterstützen, wodurch die bisherigen Investitionen möglicherweise vervierfacht werden, und zwar als Teil der neuen Technologie- und Industriepolitik und der Erholungsagenda.

Mithilfe von Anreizen, Verpflichtungen und Benchmarks muss die Cybersicherheit in all diese digitalen Investitionen einbezogen werden, insbesondere bei Schlüsseltechnologien wie künstliche Intelligenz (KI), Verschlüsselung und Quanteninformatik. Dies kann das Wachstum der europäischen Cybersicherheitsbranche stimulieren und die nötige Sicherheit schaffen, um den schrittweisen Ausstieg aus Altsystemen zu erleichtern. Der Europäische Verteidigungsfonds wird europäische Cyberabwehrlösungen als Teil der technologischen und industriellen Basis der europäischen Verteidigung unterstützen. Die Cybersicherheit wird in den externen Finanzierungsinstrumenten zur Unterstützung unserer Partner berücksichtigt, insbesondere dem Instrument für Nachbarschaft, Entwicklungszusammenarbeit und internationale Zusammenarbeit. Die Verhinderung des Missbrauchs von Technologien, der Schutz kritischer Infrastrukturen und die Gewährleistung der Integrität der Lieferketten ermöglichen es der EU ferner, die Normen, Regeln und Grundsätze der Vereinten Nationen für verantwortungsvolles staatliches Handeln einzuhalten.

1. RESILIENZ, TECHNOLOGISCHE SOUVERÄNITÄT UND FÜHRUNGSROLLE

Die kritischen Infrastrukturen und die wesentlichen Dienste der EU sind zunehmend voneinander abhängig und digitalisiert. Alle mit dem Internet vernetzten Dinge in der EU, unabhängig davon, ob es sich um automatisierte Fahrzeuge, industrielle Steuerungssysteme oder Haushaltsgeräte handelt. Die gesamten Lieferketten, über die sie bereitgestellt werden, müssen sicher und widerstandsfähig gegen Cybervorfälle sein, und festgestellte Schwachstellen müssen rasch behoben werden können. Nur so hat der private und öffentliche Sektor in der EU die Möglichkeit, aus den sichersten Infrastrukturen und Diensten auszuwählen. Das kommende Jahrzehnt bietet der EU die Chance, bei der Entwicklung sicherer Technologien entlang der gesamten Lieferkette eine Führungsrolle zu übernehmen. Zur Gewährleistung der Resilienz und zur Stärkung der industriellen und technologischen Kapazitäten im Bereich der Cybersicherheit sollten alle erforderlichen Regulierungs-, Investitions- und Politikinstrumente mobilisiert werden. Die eingebaute Cybersicherheit für industrielle Prozesse, Operationen und Geräte kann Risiken mindern, potenziell die Kosten für Unternehmen und die Gesellschaft im weiteren Sinne senken und so die Resilienz erhöhen.