NOTE This language version reflects the corrections done to the original EN version transmitted under COM(2017) 476 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 476 final/2 of 4.10.2017

Das Ziel der NIS-Richtlinie besteht darin, ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der EU zu erreichen. Hierbei geht es um die Erhöhung der Sicherheit des Internets und der privaten Netz- und Informationssysteme, die für das Funktionieren unserer Gesellschaft und Wirtschaft unverzichtbar sind. Das erste wichtige Element in diesem Zusammenhang ist die Abwehrbereitschaft der Mitgliedstaaten, die nach Maßgabe der Richtlinie durch nationale Cybersicherheitsstrategien sowie die Arbeiten der Computer-Notfallteams (CSIRT) und der zuständigen nationalen Behörden sichergestellt werden sollte.

Die Mitteilung enthält die wichtigsten Schlussfolgerungen aus der Analyse der Fragen, die mit Blick auf die Umsetzung in nationales Recht als wichtige Bezugspunkte und mögliche Ansätze gelten. Der wichtigste Schwerpunkt liegt hier auf Vorschriften, die die Kapazitäten und Pflichten der Mitgliedstaaten in Bezug auf in den Anwendungsbereich der Richtlinie fallende Einrichtungen betreffen. Der Anhang enthält eine genauere Prüfung der Bereiche, in denen praktische Umsetzungsleitlinien nach Ansicht der Kommission den größten Nutzen bieten, indem bestimmte Vorschriften der Richtlinie erläutert und ausgelegt und die bisherigen bewährten Verfahren und Erfahrungen mit der Richtlinie dargelegt werden.

·die intensiven Arbeiten der Kooperationsgruppe, die sich auf einen Arbeitsplan geeinigt hat, der sich in erster Linie auf die Umsetzung der NIS-Richtlinie und insbesondere auf die Frage der Ermittlung von Betreibern wesentlicher Dienste und ihrer Verpflichtungen hinsichtlich der Sicherheitsanforderungen und Meldungen von Sicherheitsvorfällen konzentriert. Wenngleich die Richtlinie bei der Umsetzung der Bestimmungen in Bezug auf die Betreiber wesentlicher Dienste einen Ermessensspielraum gewährt, erkannten die Mitgliedstaaten, wie wichtig ein diesbezüglich harmonisierter Ansatz ist.

Angesichts der Neuartigkeit der NIS-Richtlinie und der Dringlichkeit, mit der die sich rasch wandelnden Cyberbedrohungen angegangen werden müssen, verdienen die Herausforderungen, mit denen alle Akteure bei der fristgerechten und erfolgreichen Umsetzung der Richtlinie konfrontiert sind, besondere Aufmerksamkeit. So hat die Kommission mit Blick auf die Frist für die Umsetzung bis zum 9. Mai 2018 bzw. bis zum 9. November 2018 für die Ermittlung der Betreiber wesentlicher Dienste den Umsetzungsprozess in den Mitgliedstaaten sowie deren Arbeiten in der Kooperationsgruppe fortlaufend unterstützt.

Die NIS-Richtlinie ist ein Eckstein der Antwort der EU auf die zunehmenden Cyberbedrohungen und -herausforderungen, die mit der Digitalisierung unseres wirtschaftlichen und gesellschaftlichen Lebens einhergehen, und ihre Umsetzung ist somit ein wesentlicher Teil des am 13. September 2017 vorgelegten Cybersicherheitspakets. Solange die NIS-Richtlinie noch nicht in allen Mitgliedstaaten vollständig umgesetzt ist, geht dies zu Lasten der Wirksamkeit der Antwort der Europäischen Union. Auch in der Mitteilung der Kommission „Stärkung der Abwehrfähigkeit Europas im Bereich der Cybersicherheit“ aus dem Jahr 2016 wurde dies als entscheidendes Problem identifiziert.

Bei der am 6. Juli 2016 angenommenen Richtlinie (EU) 2016/1148 über die Sicherheit von Netz- und Informationssystemen in der Union (im Folgenden die „NIS-Richtlinie“ oder die „Richtlinie“) handelt es sich um die ersten horizontalen Rechtsvorschriften zur Bewältigung von Herausforderungen der Cybersicherheit. Für die Abwehrfähigkeit gegenüber Cyberangriffen und die Zusammenarbeit in Europa stellt sie einen entscheidenden Wendepunkt dar.

Während sich die Richtlinie auf Unternehmen und Dienste von entscheidender Bedeutung konzentriert, ist es angesichts der zunehmenden Abhängigkeit von der Informations- und Kommunikationstechnik notwendig, die Cybersicherheit in Wirtschaft und Gesellschaft ganzheitlich und konsequent anzugehen. Daher würde die Annahme umfassender nationaler Strategien, die über die Mindestanforderungen der NIS-Richtlinie (d. h. über die in Anhang II bzw. Anhang III der Richtlinie aufgelisteten Sektoren und Dienste) hinausgehen, das Sicherheitsniveau von Netz- und Informationssystemen insgesamt erhöhen.

Da es sich bei der Cybersicherheit noch um einen verhältnismäßig neuen und rasch wachsenden Politikbereich handelt, bedarf es meist neuer Investitionen, auch wenn die Gesamtsituation der öffentlichen Finanzen Kürzungen und Einsparungen verlangt. Für die Verwirklichung der Ziele der Richtlinie kommt es daher darauf an, ehrgeizige Beschlüsse zu fassen, um die für die wirksame Umsetzung der nationalen Strategien unerlässliche finanzielle und personelle Ausstattung, auch der nationalen Behörden und der CSIRT, sicherzustellen.

Wirksamkeit der Um- und Durchsetzung

Die Notwendigkeit, zuständige nationale Behörden bzw. zentrale Anlaufstellen zu benennen, wird in Artikel 8 der Richtlinie behandelt und ist ein wesentliches Element für die wirksame Umsetzung der NIS-Richtlinie und die grenzübergreifende Zusammenarbeit. In diesem Zusammenhang haben sich in den Mitgliedstaaten sowohl eher zentrale als auch dezentrale Ansätze entwickelt. Entscheidet sich ein Mitgliedstaat für einen eher dezentralen Ansatz bei der Benennung der zuständigen nationalen Behörden, gilt es, solide Kooperationsvereinbarungen zwischen zahlreichen Behörden und der zentralen Anlaufstelle zu treffen (siehe Tabelle 1, Abschnitt 3.2 des Anhangs). Dies verbessert die Wirksamkeit der Umsetzung und erleichtert die Durchsetzung.

Frühere Erfahrungen beim Schutz kritischer Informationsinfrastrukturen (CIIP) können dabei helfen, ein optimales Regelungsmodell für die Mitgliedstaaten zu entwerfen, das sowohl eine wirksame sektorale Umsetzung der NIS-Richtlinie als auch einen kohärenten horizontalen Ansatz (siehe Abschnitt 3.1. des Anhangs) gewährleistet.

Größere nationale CSIRT-Kapazitäten

Ohne eine effektive und angemessene Ressourcenausstattung der nationalen Computer-Notfallteams in der gesamten EU, wie in Artikel 9 der NIS-Richtlinie dargelegt ist, wird die EU weiterhin durch grenzübergreifende Cyberbedrohungen gefährdet sein. Die Mitgliedstaaten könnten es daher in Betracht ziehen, den Aktionsbereich der CSIRT über die im Anwendungsbereich der Richtlinie erfassten Sektoren und Dienste hinaus zu erweitern (siehe Abschnitt 3.3 des Anhangs). Die nationalen CSIRT könnten dadurch bei Sicherheitsvorfällen, die in Unternehmen und Organisationen, welche zwar nicht in den Anwendungsbereich der Richtlinie fallen, aber dennoch für die Gesellschaft und die Wirtschaft von Bedeutung sind, auftreten, eine operative Unterstützung bieten. Darüber hinaus könnten die Mitgliedstaaten zusätzliche Finanzierungsmöglichkeiten des Programms für die Netzsicherheit der Infrastrukturen für digitale Dienste im Rahmen der Fazilität „Connecting Europe“ (CEF), das die Kapazitäten der nationalen CSIRT und deren Zusammenarbeit stärken soll, umfassend in Anspruch nehmen (siehe Abschnitt 3.5 des Anhangs).

Kohärenz der Verfahren zur Ermittlung von Betreibern wesentlicher Dienste

Die Mitgliedstaaten müssen nach Artikel 5 der NIS-Richtlinie bis zum 9. November 2018 die Einrichtungen ermitteln, die als Betreiber wesentlicher Dienste anzusehen sind. Dabei könnten die Mitgliedstaaten in Betracht ziehen, die in dieser Mitteilung enthaltenen Definitionen und Leitlinien durchgängig anzuwenden, um sicherzustellen, dass ähnliche Einrichtungen mit einer ähnlichen Rolle im Binnenmarkt auch in anderen Mitgliedstaaten konsequent als Betreiber wesentlicher Dienste ermittelt werden. Angesichts der Rolle, die öffentliche Verwaltungen für die Gesellschaft und die Wirtschaft insgesamt spielen, könnten die Mitgliedstaaten außerdem erwägen, den Anwendungsbereich der NIS-Richtlinie auf diese auszudehnen (siehe Abschnitte 2.1. und 4.1.3.des Anhangs).

Es wäre sehr nützlich, die nationalen Ansätze für die Ermittlung von Betreibern wesentlicher Dienste unter Berücksichtigung der Leitlinien der Kooperationsgruppe (siehe Abschnitt 4.1.2. des Anhangs) so weit wie möglich aufeinander abzustimmen, da dies zu einer einheitlicheren Anwendung der Bestimmungen der Richtlinie führen und das Risiko einer Fragmentierung des Marktes verringern würde. In Fällen, in denen Betreiber wesentlicher Dienste diese wesentlichen Dienste in zwei oder mehr Mitgliedstaaten bereitstellen, ist es von entscheidender Bedeutung, dass sich die Mitgliedstaaten (im Rahmen der Konsultation nach Artikel 5 Absatz 4) auf die einheitliche Ermittlung von Einrichtungen einigen (siehe Abschnitt 4.1.7. des Anhangs), sodass eine unterschiedliche regulatorische Behandlung von ein und derselben Einrichtung im Rahmen der verschiedenen Rechtssysteme der Mitgliedstaaten vermieden werden kann.

Übermittlung von Informationen über die Ermittlung von Betreibern wesentlicher Dienste an die Kommission

Nach Artikel 5 Absatz 7 sind die Mitgliedstaaten gehalten, der Kommission Informationen über die nationalen Maßnahmen zur Ermittlung der Betreiber wesentlicher Dienste zu übermitteln, ebenso wie die Liste der wesentlichen Dienste, die Zahl der ermittelten Betreiber wesentlicher Dienste und die Bedeutung der betreffenden Betreiber für den Sektor. Darüber hinaus müssen die Mitgliedstaaten Schwellenwerte, soweit vorhanden, mitteilen, die bei dem Ermittlungsprozess angewandt wurden, um den einschlägigen Versorgungsgrad oder die Bedeutung des betreffenden Betreibers für die Aufrechterhaltung eines einschlägigen Versorgungsgrads zu bestimmen. Die Mitgliedstaaten könnten außerdem erwägen, die Liste der ermittelten Betreiber wesentlicher Dienste, gegebenenfalls auf vertraulicher Basis, mit der Kommission zu teilen, da dies dazu beitragen würde, die Genauigkeit und die Qualität der Bewertung der Kommission zu verbessern (siehe Abschnitte 4.1.5 und 4.1.6 des Anhangs).

Abgestimmte Ansätze bezüglich der Anforderungen an die Sicherheit und die Meldung von Sicherheitsvorfällen für Betreiber wesentlicher Dienste

Was die Pflichten der Betreiber wesentlicher Dienste im Zusammenhang mit den Sicherheitsanforderungen und der Meldung von Sicherheitsvorfällen (Artikel 14 Absätze 1, 2 und 3) angeht, würde ein abgestimmter Ansatz in Bezug auf die Sicherheitsanforderungen und die Meldung von Sicherheitsvorfällen, der es den Betreibern wesentlicher Dienste erleichtern würde, länderübergreifend ihre Pflichten einzuhalten, einem Binnenmarkt im größtmöglichen Umfang förderlich sein. Als Referenz gilt hier nach wie vor die Arbeit an einem Leitfaden innerhalb der Kooperationsgruppe (siehe Abschnitte 4.2 und 4.3 des Anhangs).

Bei einem Cybersicherheitsvorfall großen Ausmaßes, von dem mehrere Mitgliedstaaten betroffen sind, ist es sehr wahrscheinlich, dass eine obligatorische Meldung von einem Betreiber wesentlicher Dienste oder von einem Anbieter digitaler Dienste nach Artikel 14 Absatz 3 bzw. Artikel 16 Absatz 3 ergeht oder eine freiwillige Meldung nach Artikel 20 Absatz 1 von einer anderen Einrichtung, die nicht in den Anwendungsbereich der Richtlinie fällt. Im Einklang mit der Empfehlung der Kommission für eine koordinierte Reaktion auf Cybersicherheitsvorfälle und krisen großen Ausmaßes könnten die Mitgliedstaaten eine Abstimmung ihrer nationalen Ansätze prüfen, sodass die sachdienlichen Informationen, die auf diesen Meldungen basieren, so rasch wie möglich an die zuständigen Behörden oder die CSIRT anderer betroffener Mitgliedstaaten weitergeleitet werden können. Akkurate und verwertbare Informationen sind von entscheidender Bedeutung, wenn es darum geht, die Zahl der Infektionen zu verringern oder Sicherheitslücken vor ihrer Ausnutzung zu beheben.

Im Geiste der Partnerschaft und einer optimalen Nutzung der NIS-Richtlinie beabsichtigt die Kommission, die Unterstützung aller von dieser Rechtsvorschrift betroffenen Interessenträger im Rahmen der Fazilität „Connecting Europe“ zu erweitern. Während der Schwerpunkt auf dem Aufbau von Kapazitäten der CSIRT und auf einer Plattform für eine schnelle und wirksame operative Zusammenarbeit zur Stärkung des CSIRT-Netzes lag, wird die Kommission nun prüfen, wie eine Finanzierung im Rahmen der Fazilität „Connecting Europe“ auch den zuständigen nationalen Behörden und Betreibern wesentlicher Dienste und Anbietern digitaler Dienste zugute kommen kann.