Die Europäische Kommission hat am 29. Januar 2020 den Bericht über das gemeinsame Instrumentarium für mehr Sicherheit im 5G-Mobilfunknetz verabschiedet, auf den sich die EU-Mitgliedstaaten geeinigt hatten und fordert darin auf, die wichtigsten Maßnahmen bis zum 30. April 2020 auf den Weg zu bringen.

Einführung

5G ist die Zukunftstechnologie für Europa. Diese wird eine Schlüsselrolle in der künftigen Entwicklung der digitalen Wirtschaft und Gesellschaft Europas spielen, sie ist eine Grundvoraussetzung für künftige digitale Dienste in zentralen Bereichen wie Gesundheit, Bank- und Verkehrswesen und Energie. Der neue Mobilfunkstandard 5G soll durch schnelle Übertragungsraten eine Kommunikation in Echtzeit ermöglichen. Das gilt z.B. als wichtige Voraussetzung zur Steuerung von Industrieanlagen aber auch für das autonome Fahren in der Autoindustrie; auch demokratische Prozesse, wie z.B. Wahlen, beruhen zunehmend auf digitalen Infrastrukturen und 5G-Netzen. Die Europäische Kommission weist darauf hin, dass die 5G-Technik ein Schlüsselfaktor für die europäische Wettbewerbsfähigkeit auf dem Weltmarkt ist, denn weltweit würden in 2025 Umsätze mit 5G in einem Gegenwert von 225 Mrd. Euro erwirtschaftet.

EU-weiter Schutz der 5G-Netze

Diese umfassend einsetzbare Technik bedarf jedoch besonderen Schutzes; hierzu führt die Europäische Kommission aus, dass 5G-Netze wegen der weniger zentralisierten Architektur, modernster intelligenter Rechenkapazitäten, des Bedarfs an mehr Antennen und der zunehmenden Abhängigkeit von Software "mehr potenzielle Angriffspunkte" bieten. Da Cybersicherheitsbedrohungen immer mehr zunehmen und komplexer werden ist für die Europäische Kommission die Gewährleistung der Netzsicherheit von größter strategischer Bedeutung. Die Sicherheitsrisiken beziehen sich auf wichtige Teile der Software und auf das breite Spektrum der durch 5G ermöglichten Dienste und Anwendungen. Eine zusätzliche Herausforderung betrifft die Rolle der Anbieter beim Aufbau und Betrieb von 5G-Netzen und die Abhängigkeit von einzelnen Lieferanten.

Bereits im September 2016 hat die Europäische Kommission die Einführung und den Ausbau von 5G-Netzen durch einen 5G-Aktionsplan auf den Weg gebracht. Mit einem Investitionsvolumen in Höhe von 1 Mrd. Euro, davon 300 Mio. Euro EU-Mittel, liegt Europa bei der kommerziellen Einführung von 5G-Netzen weltweit an der Spitze. Die Kommission rechnet damit, dass bis zum Ende des Jahres 2020 die ersten 5G-Netze in 138 europäischen Städten verfügbar sind.

Gemäß des Vertrags von Lissabon sind die Mitgliedstaaten für die nationale Sicherheit zuständig, die Europäische Kommission betont aber ausdrücklich, dass die Sicherheit von 5G-Netzen eine strategische Frage für den gesamten EU-Binnenmarkt und den Erhalt der technologischen Unabhängigkeit der EU ist. Daher könne ohne eine enge Abstimmung unter den EU-Mitgliedstaaten nicht sichergestellt werden, dass alle potentiellen Nutzer in der EU (Bürger/innen, Unternehmen, Verwaltungen) das Potential der neuen Technologie in voller Sicherheit nutzen könnten.

Vor diesem Hintergrund hatten die Staats- und Regierungschefs der EU im März 2019 die Europäische Kommission aufgefordert, ein abgestimmtes Konzept für die Sicherheit der 5G-Netze vorzulegen; zwischenzeitlich haben die EU-Mitgliedstaaten mit Unterstützung der Europäischen Kommission die Risiken und Schwachstellen auf der jeweils nationalen Ebene bewertet; einen zusammenfassenden Bericht darüber veröffentlichte die Europäische Kommission am 09. Oktober 2019. Durch das 29. Januar 2020 vorgestellte Instrumentarium verpflichten sich die EU-Mitgliedstaaten gemeinsam zum Schutz der 5G-Netze zu handeln. Dies sind:

• die Sicherheitsanforderungen für Mobilfunknetzbetreiber zu verschärfen (z. B. strenge Zugangskontrollen, Vorschriften für sicheren Betrieb und sichere Überwachung, Beschränkungen für die Auslagerung bestimmter Funktionen usw.);
• die Risikoprofile der Anbieter zu bewerten und in der Folge auf Anbieter, die als mit einem hohen Risiko behaftet gelten, einschlägige Beschränkungen anzuwenden, darunter den Ausschluss von Anbietern zur wirksamen Minderung der Risiken für wichtige Anlagen und Einrichtungen, die in der EU-weit koordinierten Risikobewertung als kritisch und anfällig eingestuft wurden (z. B. Kernnetzfunktionen, Netzverwaltungs- und -Koordinierungsfunktionen sowie Zugangsnetzfunktionen);
• sicherzustellen, dass jeder Betreiber über eine angemessene herstellerneutrale Strategie verfügt, um eine größere Abhängigkeit von einem einzigen Anbieter (oder Anbietern mit ähnlichem Risikoprofil) zu vermeiden oder zu begrenzen‚ für ein angemessenes Gleichgewicht zwischen den Anbietern auf nationaler Ebene zu sorgen und eine Abhängigkeit von Anbietern zu vermeiden, die als mit einem hohen Risiko behaftet gelten; dazu soll auch die Bindung („lock-in“) an einen einzigen Anbieter vermieden werden, unter anderem durch die Förderung einer größeren Interoperabilität der Ausrüstungen.

Die Kommission sagt ausdrücklich zu, die Umsetzung eines EU-Konzepts für die 5G-Cybersicherheit zu unterstützen und alle ihr zur Verfügung stehenden Instrumente zu nutzen, um die Sicherheit der 5G-Infrastruktur und ‑Lieferkette zu gewährleisten; dies bedeutet:

• Zusammenarbeit auf dem Gebiet der Cybersicherheit: weitere Unterstützung der Mitgliedstaaten bei der wirksamen, koordinierten und zeitnahen Umsetzung nationaler Maßnahmen durch die NIS-Kooperationsgruppe (Netz- und Informationssicherheit, Mitglieder sind die EU-Mitgliedstaaten, die Europäische Kommission und die Agentur der EU für Cybersicherheit)
• Telekommunikations- und Cybersicherheitsvorschriften: Unterstützung der Umsetzung von Maßnahmen des Instrumentariums in Bezug auf Sicherheitsanforderungen, insbesondere im Hinblick auf die einschlägigen Bestimmungen im Rahmen der europäischen Vorschriften für die elektronische Kommunikation, und Prüfung des Mehrwerts möglicher Durchführungsrechtsakte, in denen die technischen und organisatorischen Sicherheitsmaßnahmen im Einzelnen festgelegt werden, um die nationalen Vorschriften zu ergänzen und die Wirksamkeit und Kohärenz der den Betreibern auferlegten Sicherheitsmaßnahmen zu verbessern;
• Normung: Maßnahmen zur Aufrechterhaltung und – wo nötig – Intensivierung der europäischen Beteiligung an den jeweiligen Normungsgremien, damit die Ziele Europas in den Bereichen Sicherheit und Interoperabilität erreicht werden. Insbesondere wird die Kommission gemeinsam mit den Mitgliedstaaten die technischen Spezifikationen und Normen bewerten und fördern, die die Interoperabilität zwischen den Anbietern von 5G-Ausrüstungen in verschiedenen Teilen des Netzes, einschließlich herkömmlicher Netze, ermöglichen, um beispielsweise mithilfe offener interoperabler Schnittstellen ein echtes herstellerneutrales Umfeld zu schaffen;
• Zertifizierung: Unterstützung der Entwicklung von 5G-Zertifizierungssystemen, die den Bedürfnissen von 5G-Netzen im Rahmen des EU-Zertifizierungsrahmens für die Cybersicherheit gerecht werden;
• Überprüfung ausländischer Direktinvestitionen: Unterstützung der Umsetzung des EU-Überprüfungsrahmens durch eine Erfassung der 5G-Wertschöpfungskette, einschließlich anfälliger Netzressourcen, und eine regelmäßige Überwachung ausländischer Direktinvestitionen entlang der Wertschöpfungskette. Entsprechend dem Zeitplan für die Überprüfung ausländischer Direktinvestitionen (ab Oktober 2020) wird die Kommission ausländische Investitionen im 5G-Bereich im Einklang mit den Vorgaben der Verordnung (EU) 2019/452 prüfen und dabei die EU-weit koordinierte Risikobewertung und das EU-Instrumentarium berücksichtigen;
• handelspolitische Schutzinstrumente: Überwachung aller relevanten Marktentwicklungen in der EU und in Drittländern sowie Schutz der EU-Akteure auf dem europäischen 5G-Markt durch handelspolitische Schutzmaßnahmen gegen potenzielle handelsverzerrende Praktiken (Dumping oder Subventionierung), gegebenenfalls auch durch Einleitung von Voruntersuchungen;
• Wettbewerbsregeln: Überwachung des Funktionierens der Märkte für 5G-Hard- und -Software, um sicherzustellen, dass diese Märkte wettbewerbsorientierte Ergebnisse hervorbringen, auch in Bezug auf eine mögliche vertragliche oder technische Bindung ("lock-in");
• EU-Förderprogramme: Gewährleistung, dass die Beteiligung an EU-Finanzierungsprogrammen in den einschlägigen Technologiebereichen von der Einhaltung der Sicherheitsanforderungen abhängig gemacht wird, indem die Sicherheitsbedingungen in den FuE-Programmen, insbesondere im Programm "Horizont Europa", im Programm "Digitales Europa" und in der Fazilität "Connecting Europe 2", in den europäischen Struktur- und Investitionsfonds und in anderen einschlägigen Programmen umfassend genutzt und weiterhin angewandt werden. Ein ähnlicher Ansatz solle auch bei den externen Finanzierungsprogrammen und Finanzierungsinstrumenten der EU verfolgt werden‚ auch im Hinblick auf die Förderung durch internationale Finanzinstitute;
• Öffentliche Aufträge: Nutzung der Vergabe öffentlicher Aufträge im Bereich 5G-Netze, um die festgelegten Ziele Sicherheit, Anbietervielfalt und langfristige Nachhaltigkeit von 5G-Netzen zu unterstützen; insbesondere sei darauf hinzuwirken, dass Sicherheitsaspekte bei der Vergabe öffentlicher Aufträge im Bereich der 5G-Netze im Einklang mit den EU-Vorschriften für die Vergabe öffentlicher Aufträge gebührend berücksichtigt werden;
• Reaktion auf Sicherheitsvorfälle und Krisenmanagement (Konzeptentwurf) und Cyberübungen: Umfassende Nutzung der Entwicklung des EU-Konzeptentwurfs20 für die koordinierte Reaktion auf große Cybersicherheitsvorfälle. Außerdem ist gemeinsam mit der ENISA zu prüfen, ob eine 5G-Cyberübung durchgeführt werden kann, sobald die Marktreife dies zulässt.

Zeitplan:

Die Europäische Kommission fordert die EU-Mitgliedstaaten in ihrem Bericht auf, bis zum 30. April 2020 die empfohlenen Maßnahmen umzusetzen, um bis zum 30. Juni 2020 einen gemeinsamen Bericht zur bisherigen Umsetzung in der EU-Mitgliedstaaten erstellen zu können.

Quelle und weitere Informationen:

EU-Aktuell vom 29.01.2020