DE Amtsblatt der Europäischen Union CE 84/766

(2004/C 84 E/0862)

SCHRIFTLICHE ANFRAGE E-0183/04

von Charlotte Cederschiöld (PPE-DE) an die Kommission

(29. Januar 2004)

Betrifft: Netzwerk und Informationssicherheit

Die Sicherheit der Informationstechnologie stellt nach wie vor einen Bereich dar, bei dem die Kommission und andere Institutionen auf EU-Ebene auf den Schutz ihrer internen Systeme achten müssen. Teilt die Kommission die Auffassung, dass die sogenannten Gemeinsamen Grundsätze international anerkannte Normen für die Beurteilung der Sicherheit von Produkten der Informations- und Kommunikationstechnologie bereitstellen und, falls ja, wie kann die Europäische Agentur für Netz- und Informationssicherheit bei der Bereitstellung ihrer eigenen Produkte und bei der Gewährung von Beschaffungshilfe für Einrichtungen der EU und der Mitgliedstaaten diese Gemeinsamen Grundsätze nutzen?

Gemeinsame Antwort

von Herrn Liikanen im Namen der Kommission

auf die Schriftlichen Anfragen E-0181/04, E-0182/04 und E-0183/04

(10. März 2004)

Seit Einführung der vorherigen Sicherheitskriterien ITSEC im Jahr 1991 hat die Kommission im Rahmen der Standardisierung der Netz- und Informationssicherheit, insbesondere der gemeinsamen Kriterien, während der ganzen Zeit an der Entwicklung gemeinsamer Kriterien mitgewirkt. Darüber hinaus hat die Kommission in Zusammenarbeit mit den Mitgliedstaaten das Abkommen über die gegenseitige Anerkennung der die gemeinsamen Kriterien enthaltenden Norm ISO/IEC 15408 erarbeitet.

Die Europäische Agentur für Netz- und Informationssicherheit (ENISA), welche die Frau Abgeordnete als mögliche Einrichtung zur stärkeren Verbreitung dieser Norm in Europa erwähnt, wird ihre Tätigkeit in den kommenden Monaten aufnehmen. Die Kommission wirkt derzeit an der Ausarbeitung des vorläufigen ENISA-Arbeitsprogramms mit. In dieser Antwort schlägt die Kommission einige Aufgaben für ENISA im Zusammenhang mit der Normung vor. Zu diesem Zeitpunkt kann jedoch noch nicht mit Bestimmtheit gesagt werden, wie sich das künftige ENISA-Arbeitsprogramm gestalten wird.

Für die Kommission ist die Verwendung anerkannter Normen zur Bewertung und Zertifizierung von Produkten der Informations- und Kommunikationstechnologie schon immer eine wichtige Komponente der Politik im Bereich Netz- und Informationssicherheit gewesen. Die Verwendung dieser Normen im Beschaffungswesen wurde in der Empfehlung des Rates (95/144/EG) vom 7. April 1995 unterstützt (1). In der Mitteilung der Kommission „Sicherheit der Netze und Informationen: Vorschlag für einen europäischen Politikansatz“ (2) wird die Notwendigkeit einer Sicherheitszertifizierung bei Produkten hervorgehoben, um das Vertrauen der Benutzer zu stärken. Vor diesem Hintergrund steilen die gemeinsamen Kriterien eine solide und international anerkannte Grundlage für die Sicherheitszertifizierung bei Produkten dar. Als solche werden sie weitgehend im Beschaffungswesen berücksichtigt.

Allerdings hat es sich als schwierig erwiesen (auch in den Vereinigten Staaten), die Wirtschaft (insbesondere den Finanzsektor) für die Norm ISO/IEC 15408 zu gewinnen. Diese Tatsache wurde im September 2003 auf der Internationalen Common Criteria Konferenz in Stockholm besonders hervorgehoben. ENISA könnte die Einführung einer derartigen Norm fördern, indem sie eine Diskussion mit den Interessenvertretern des Bereichs Netzsicherheit über Fragen, Probleme und Möglichkeiten der Anwendung der gemeinsamen Kriterien in Gang bringt.

Bezüglich der Standardisierung der Netz- und Informationssicherheit prüft die Kommission derzeit die Folgerungen aus dem kürzlich erschienenen CEN-ETSI-Bericht, der sich mit für die europäischen Normenorganisationen relevanten Standardisierungsfragen im Bereich der Netz- und Informationssicherheit befasst (3). Auf dieser Grundlage werden künftige Maßnahmen und politische Initiativen ausgearbeitet.

Auf technischer Ebene hat die Kommission die Entwicklung sicherer Produkte und Systeme zu einer der Hauptprioritäten des Programms für Technologien der Informationsgesellschaft (IST) erklärt, wodurch sich die Entwicklung von Produkten der Informations- und Kommunikationstechnologie in Europa sicherlich verbessern wird. ENISA könnte diese Aktivitäten ergänzen, indem sie die Mitgliedstaaten bei der Ausarbeitung angemessener Lehrpläne für Sicherheitsschulungen, dem Erfahrungsaustausch und bei gemeinsamen Aufklärungskampagnen insbesondere für kleine und mittlere Unternehmen (KMU) unterstützt.

Da die gemeinsamen Kriterien eine Grundlage für die Produktsicherheit und -zertifizierung darstellen, würde die Kommission die Anwendung einer derartigen Norm im Beschaffungswesen z.Z. für all jene Fälle empfehlen, in denen es auf eine hohe, nachprüfbare Sicherheit ankommt. Sollte dies auf die ENISA zutreffen, wäre es ratsam, dass sie ggf. auf die gemeinsamen Kriterien zurückgreift, wenn sie Produkte für den Eigenbedarf beschafft oder die Kommission und die Regierungen der Mitgliedstaaten bei der Verwendung der gemeinsamen Kriterien im Beschaffungswesen berät. Dennoch sollte sich die Kommission bewusst sein, dass die Sicherheitszertifizierung ihren Preis hat.

Schließlich muss angemerkt werden, dass die technische Norm ISO/IEC 15408 nicht zur Gewährleistung einer angemessenen Sicherheit in einer Einrichtung ausreicht. Einrichtungen oder Unternehmen sollten sich daher bei der Einführung und dem Management der erforderlichen Sicherheitsverfahren ebenfalls nach einer Norm für das Management der Informationssicherheit (wie z.B. ISO/IEC 17799) richten.

(1) ABl. L 93 vom 26.4.1995.

(2) KOM(2001) 298 endg.

(3) ETSI SR 002 298.