Im März 2019 hatte die Europäische Kommission Vorschläge für ein abgestimmtes Vorgehen der EU zur Sicherheit von 5G-Netzen vorgelegt. Zur gemeinsamen Feststellung und Beseitigung etwaiger Schwachstellen hatte die Europäische Kommission eine Kombination von legislativen und politischen Instrumenten vorgeschlagen. Die Initiative erklärt die Europäische Kommission mit der Bedeutung der 5G-Netze für dem gesamten EU-Raum. Die Netze der 5. Generation werden zukünftig das Rückgrat der EU-Gesellschaften und -Volkswirtschaften bilden und Milliarden von Objekten und Systemen miteinander verbinden, gerade auch in den kritischen Sektoren wie Energie, Verkehr, Bank- und Gesundheitswesen. Auch viele demokratische Prozesse, wie z.B. Wahlen, beruhten zunehmend auf digitalen Infrastrukturen und 5G-Netzen. Zudem weist die Europäische Kommission auf die wirtschaftliche Komponente hin; so schätzt sie, dass im Jahr 2025 die weltweiten 5G-Umsätze bei 225 Mrd. Euro liegen werden, andere Quellen errechnen Gewinne in Höhe von 114 Mrd. Euro jährlich für die Schlüsselbereiche Automobilsektor, Gesundheitswesen, Verkehr und Energie. Damit sei die 5G-Technik ein Schlüsselfaktor der europäischen Wettbewerbsfähigkeit auf dem Weltmarkt und die Cybersicherheit der 5G-Netze von entscheidender Bedeutung für die Gewährleistung der strategischen Autonomie der EU.

Die Empfehlungen richten sich daher an alle EU-Mitgliedstaaten, denn jede Schwachstelle in 5G-Netzen und/oder ein Cyberangriff auf künftige Netze in einem einzelnen EU-Mitgliedsland würden sich auf den ganzen EU-Raum auswirken. Vor diesem geschilderten Hintergrund müsse es darum gehen, sowohl auf nationaler wie auch auf europäischer Ebene abgestimmte Maßnahmen zu beschließen und durchzusetzen.

Handlungsempfehlungen der Europäischen Kommission auf nationaler Ebene

"Jeder Mitgliedstaat sollte bis Ende Juni 2019 seine nationale Risikobewertung der 5G-Netzinfratrukturen abschließen. Auf dieser Grundlage sollten die Mitgliedstaaten sodann die bestehenden Sicherheitsanforderungen an Netzbetreiber überarbeiten und Bedingungen zur Gewährleistung der Sicherheit öffentlicher Netze, insbesondere bei der Erteilung von Nutzungsrechten für Funkfrequenzen in 5G-Bändern festlegen. Diese Maßnahmen sollten verstärkte Verpflichtungen für Anbieter und Betreiber bezüglich der Gewährleistung der Sicherheit der Netze umfassen. In den nationalen Risikobewertungen und Maßnahmen sollten die verschiedenen Risikofaktoren berücksichtigt werden, z. B. technische Risiken und Risiken im Zusammenhang mit dem Verhalten von Anbietern oder Betreibern, auch denen aus Drittländern. Die nationalen Risikobewertungen werden ein zentrales Element für den Aufbau einer koordinierten EU-Risikobewertung bilden.

Die EU-Mitgliedstaaten werden befugt sein, bestimmte Unternehmen aus Gründen der nationalen Sicherheit von ihren Märkten auszuschließen, wenn diese gegen nationale Standards und gegen den Rechtsrahmen des Landes verstoßen"

Handlungsempfehlungen für die EU-Ebene

"Die Mitgliedstaaten sollten Informationen untereinander austauschen und mit Unterstützung der Kommission und der Agentur der Europäischen Union für Cybersicherheit (ENISA) bis zum 1. Oktober 2019 eine koordinierte Risikobewertung vornehmen. Auf dieser Grundlage werden die Mitgliedstaaten dann eine Reihe von Risikominderungsmaßnahmen vereinbaren, die auf nationaler Ebene eingesetzt werden können. Dies wären beispielsweise Zertifizierungsanforderungen, Tests und Kontrollen sowie die Benennung von Produkten oder Anbietern, die als potenziell unsicher gelten. Diese Arbeiten werden im Rahmen der durch die Richtlinie zur Netz- und Informationssicherheit geschaffenen Kooperationsgruppe mit Unterstützung der Kommission und der ENISA erfolgen. Mit dieser koordinierten Arbeit sollen die Maßnahmen der Mitgliedstaaten auf nationaler Ebene unterstützt und der Kommission Leitlinien für mögliche weitere Schritte auf EU-Ebene vorgegeben werden. Darüber hinaus sollten die Mitgliedstaaten besondere Sicherheitsanforderungen ausarbeiten, die im Zusammenhang mit der Vergabe öffentlicher Aufträge in Bezug auf 5G-Netze gelten könnten, darunter auch verbindliche Anforderungen an die Umsetzung von Systemen für die Cybersicherheitszertifizierung"

Vorlage der nationalen 5G-Risikobewertungen am 19. Juli 2019

Zwischenzeitlich sind die meisten EU-Mitgliedstaaten der Aufforderung der Europäischen Kommission nachgekommen; 24 EU-Länder haben bis zum 19. Juli 2019 ihre nationalen Risikobewertungen vorgelegt, diese sollen jetzt in die nächste Phase einer EU-weiten Risikobewertung einfließen, die am 01. Oktober 2019 abgeschlossen sein soll (gemeinsame Bewertung von nationaler Regierung, Europäischer Kommission und der EU-Agentur für Cybersicherheit). Die nationalen Risikobewertungen geben einen Überblick über:

1. Die hauptsächlichen Bedrohungen und Akteure im Zusammenhang mit 5 G-Netzen
2. Den Grad der Verwundbarkeit der 5G-Netzkomponenten und –funktionen sowie anderer Anlagen
3. Verschiedene Arten von Schwachstellen, sowohl technischer als auch anderer Art, die möglicherweise in der 5G-Lieferkette entstehen können.

In diesem Zusammenhang weist die Europäische Kommission darauf hin, dass an den nationalen Risikobewertungen zahlreiche, für den Bereich verantwortliche Akteure, beteiligt waren, u.a. die für Cybersicherheit und Telekommunikation zuständigen Behörden sowie die Sicherheits- und Nachrichtendienste.

Bis zum 01. Oktober 2019 soll die NIS-Kooperationsgruppe (Gruppe wurde eingerichtet im Zuge der Umsetzung der Richtlinie zur Netz- und Informationssicherheit) ein Instrumentarium von Risikominderungsmaßnahmen erarbeiten. Zusätzlich will die Europäische Kommission mit der EU-Agentur für Cybersicherheit einen EU-weiten Zertifizierungsrahmen für 5G-Netze und –Ausrüstung aufstellen.

Hintergrund:

Die Staats- und Regierungschefs hatten auf ihrem Treffen am 22. März 2019 in den Schlussfolgerungen die Europäische Kommission beauftragt, Empfehlungen für ein abgestimmtes Vorgehen bei der Sicherheit von 5G-Netzen zu erarbeiten. In der Entschließung des Europäischen Parlaments vom 12. März 2019 zu Sicherheitsbedrohungen im Zusammenhang mit der zunehmenden technologischen Präsenz Chinas in der EU werden die Europäische Kommission und die EU-Mitgliedstaaten ebenfalls aufgefordert, Maßnahmen auf Unionsebene zu ergreifen.

Die Rechtsgrundlagen sind die Richtlinie über die Netz- und Informationssicherheit (Rechtsvorschriften über Cybersicherheit), Rechtsakt zur Cybersicherheit und die neuen Telekommunikationsvorschriften.

Quelle und weitere Informationen:

EU-Aktuell vom 26.03.2019

EU-Aktuell vom 19.07.2019