Die Europäische Kommission bekräftigte auf der aktuell in Den Haag stattfindenden gemeinsamen Sicherheitskonferenz von Europol und der Europäischen Agentur für Netz- und Informationssicherheit (ENISA) ihren Willen für einheitliche Regeln in Sachen Cybersicherheit.

Das Augenmerk soll in der geplanten Verordnung zu einer "Zertifizierung der Cybersicherheit" insbesondere auf mehr Sicherheit im Internet der Dinge gelegt werden. Die neue Verordnung vom Europäischen Parlament soll bis zum Ende 2018 verabschiedet werden; danach gilt sie in allen Mitgliedstaaten der Europäischen Union.

Es ergeben sich insbesondere für Hersteller von Produkten für das Internet der Dinge neue Vorschriften, wenn der Vorschlag vom Parlament bestätigt wird. Die Zertifizierung ihrer Produkte soll in der jetzigen Fassung für Hersteller allerdings auf freiwilliger Basis erfolgen, sofern diese nicht Bestandteil kritischer Infrastrukturen sind. Diese Vorgabe können einzelne Mitgliedstaaten im nationalen Recht deutlich verschärfen.

Diese freiwillige Zertifizierung kann von Herstellern in Abhängigkeit von drei Sicherheitsstufen "niedrig", "mittel" oder "hoch" mit unterschiedlichen Anforderungen durchlaufen werden. Hersteller dürfen im Falle der niedrigsten Stufe die Konformitätsbewertung selbst durchführen. Dabei wird beispielsweise die Abwehrfähigkeit gegenüber einem zufälligen oder böswilligen Verlust von Daten bewertet. Für die beiden nächsten Stufen "mittel" und "hoch" werden externe Audits gefordert.

In der jetzigen Fassung gehen die europäischen Institutionen davon aus, dass die restriktive Vorgabe einer zwingenden Zertifizierung, beispielsweise mit einem verpflichtenden Qualitätssiegel für sichere Produkte im Internet der Dinge, angesichts der globalen Herausforderung nicht erfolgversprechend ist. "Wir setzen darauf, dass Hersteller die freiwillige Zertifizierung zum Anlass nehmen, zertifizierte Produkte selbstständig entsprechend auszuzeichnen und damit Verbraucher einen deutlichen Hinweis zur nachhaltigen Sicherheit zu geben", so Steve Purser, Leiter bei der europäischen Cyberersicherheitsagentur ENISA.

Im neuen Rahmenwerk bekommt die ENISA eine zentrale Funktion und soll die Rolle einer ständigen Agentur für Cybersicherheit in der Europäischen Union übernehmen, welche sowohl Cybersicherheitsübungen auf EU-Ebene organisieren und die einheitliche Umsetzung der Cybersicherheits-Zertifizierung unterstützen und fördern soll.

Unter dem Namen "Cybersecurity Certification Framework" geht die Grundlage zur Neuregelung der Cybersicherheit in Europa auf einen Vorstoß der Europäischen Kommission aus dem Jahre 2017 zurück. Der Europäische Rat hat im Rahmen einer umfassenden Reform zur Cybersicherheit in diesem Monat den Vorschlag befürwortet und dem Europäischen Parlament zur Diskussion und Verabschiedung übergeben. Es wird damit gerechnet, dass noch dieses Jahr im Parlament über die Einführung eines EU-weiten Zertifizierungssystems für Cybersicherheit abgestimmt wird.

(jf, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE