Meldepflicht bei Cyber-Attacken - TeleTrusT sieht sie als Chance

Der TeleTrusT - Bundesverband IT-Sicherheit e.V. befürwortet eine Meldepflicht für schwerwiegende Cyber-Angriffe. Analog zu den im Gesundheitswesen bereits etablierten Meldepflichten, die beispielsweise bei der Seuchenbekämpfung wichtig sind, ist auch eine Meldepflicht für gravierende Cyber-Angriffe sinnvoll, wenn sich diese auf wichtige Bereiche und bedeutsame Grundversorgungsstrukturen erstrecken. Dies dient dem Schutz der öffentlichen Ordnung bzw. ermöglicht abgestimmte, strategische Gegenmaßnahmen.

Ein auf reiner Freiwilligkeit beruhendes Meldesystem wird auch künftig nicht den notwendigen Überblick über Angriffsszenarien und Angriffshäufigkeiten bringen. TeleTrusT geht davon aus, dass eine Meldepflicht jedenfalls dann sinnvoll ist, wenn ein Erkenntnismehrwert über bestehende Meldewege hinaus gewonnen wird.

Ferner muss eine Meldepflichtregelung erkennen lassen, durch wen, für welchen Zweck und mit welchen möglichen Konsequenzen die gemeldeten Informationen verwendet werden können.

Notwendig sind aus Sicht von TeleTrusT genaue Festlegungen zu Meldeanlässen, Verfahrensfestlegungen und perspektivisch eine EU-weit harmonisierte Regelung. Die Einführung einer solchen Meldepflicht würde den bereits laufenden Planungen für eine EU-weite Regulierung entsprechen. Ein auf EU-Ebene derzeit behandelter "Proposal for a Directive of the European Parliament and of the Council concerning measures to ensure a high common level of network and information security across the Union", sieht vor, dass Behörden "ausreichende Informationen" von Unternehmen abfordern können, um ihre Aufgaben erfüllen zu können.

Das Ziel der vorgeschlagenen Richtlinie ist, hohe gemeinsame Netz- und Informationssicherheit in der EU zu gewährleisten. Erreicht werden soll dies durch die Verpflichtung von Mitgliedstaaten, ihre Einsatzfähigkeit zu erhöhen und ihre Zusammenarbeit untereinander zu verbessern sowie die Verpflichtung von Betreibern kritischer Infrastrukturen und öffentlicher Verwaltungen, geeignete Sicherheitsmaßnahmen zu ergreifen, mit Sicherheitsrisiken umzugehen und schwere Zwischenfälle an die zuständigen nationalen Behörden zu melden.