Bericht über die Cybersicherheit und Resilienz der Kommunikationsinfrastrukturen und -netze der EU

Im Anschluss an den Aufruf von Nevers vom 9. März 2022 und auf der Grundlage der bereits auf EU-Ebene durchgeführten koordinierten Arbeiten zur Stärkung der Sicherheit von 5G-Netzen führten die Mitgliedstaaten eine Risikobewertung für die Kommunikationsinfrastrukturen und -netze in Europa durch. 

Bei dieser Risikobewertung wurden eine Reihe von Bedrohungen für Kommunikationsnetze und -infrastrukturen wie Scheibenwischer, Ransomware-Angriffe, Lieferkettenangriffe, physische Angriffe, Sabotage usw. ermittelt. Diese Bedrohungen könnten unter Ausnutzung von Schwachstellen ein erhebliches Risiko für die Sicherheit und Widerstandsfähigkeit der Konnektivitätsinfrastruktur darstellen. Auf der Grundlage dieser Erkenntnisse und zusätzlich zu den neun Risikoszenarien, die bereits in der EU-Risikobewertung von 5G-Netzen ermittelt wurden, werden in dem Bericht zehn Risikoszenarien von strategischer Bedeutung für die Union entwickelt, wie beispielsweise ein Angriff auf die Lieferkette, um Zugang zur Infrastruktur der Betreiber zu erhalten oder einen koordinierten physischen Sabotageangriff auf die digitale Infrastruktur.

Um diese Risiken zu mindern, enthält der Bericht eine Reihe strategischer und technischer Empfehlungen für die Mitgliedstaaten, die Kommission und die ENISA, die mit Unterstützung des Gremiums europäischer Regulierungsstellen für elektronische Kommunikation umzusetzen sind. In Bezug auf strategische Aspekte wird in dem Bericht empfohlen,

• Bewertung der Widerstandsfähigkeit internationaler Verbindungen;
• Bewertung der Kritikalität, Widerstandsfähigkeit und Redundanz der zentralen Internetinfrastruktur, wie z. B. U-Boot-Kabel;
• Umsetzung der Empfehlungen in Bezug auf Lieferanten im zweiten Fortschrittsbericht über die Umsetzung des EU-Instrumentariums;
• Transparenz in Bezug auf die Landschaft von Lieferanten und Managed Service Providern oder Managed Security Service Providern schaffen, die für Festnetze, Glasfasertechnik, Unterwasserkabel, Satellitennetze und andere wichtige IKT-Anbieter verwendet werden;
• Einbeziehung des Sektors der elektronischen Kommunikation in Cyber-Übungen und operative Zusammenarbeit;
• Förderung des Informationsaustauschs und Verbesserung des Lagebewusstseins für die Betreiber;
• Bereitstellung von Finanzmitteln für Betreiber bei technischen Maßnahmen gegen Cyberangriffe in ihren Netzen;
• Austausch bewährter Verfahren zwischen den nationalen Behörden im Zusammenhang mit physischen Angriffen auf digitale Infrastruktur;
• Ausweitung der physischen Stresstests kritischer Infrastrukturen auf digitale Infrastrukturen.

Angesichts der Kritikalität der Infrastrukturen und Netze im Rahmen dieses Berichts und angesichts der sich rasch entwickelnden Bedrohungslandschaft und unbeschadet der Zuständigkeiten der Mitgliedstaaten in Bezug auf die nationale Sicherheit werden die Mitgliedstaaten, die Kommission und die ENISA ermutigt, diese widerstandsfähigkeitssteigernden Maßnahmen auf der Grundlage der Arbeit, die bereits mit der Umsetzung einiger Empfehlungen begonnen hat, so bald wie möglich umzusetzen.

Hintergrund

Am 9. März 2022 führte die informelle Tagung der Telekommunikationsminister in Nevers (Frankreich) zu einer gemeinsamen Aufforderung zur Stärkung der Cybersicherheitskapazitäten der EU. In Punkt 4 der Aufforderung werden die zuständigen nationalen Behörden wie das Gremium europäischer Regulierungsbehörden für elektronische Kommunikation (GEREK), die ENISA und die NIS-Kooperationsgruppe aufgefordert, auf der Grundlage einer Risikobewertung Empfehlungen an die EU-Mitgliedstaaten und die Kommission auszusprechen, um die Widerstandsfähigkeit der Kommunikationsinfrastrukturen und -netze der EU zu stärken.