D
ie Debatte um den Einsatz von
Huawei-Technologie in 5G-Netzen
weist weit über den konkreten
Hersteller und die zukünftigen Mo-
bilfunknetze hinaus. Sie hat die Cy-
bersicherheit in den Fokus globaler Handels-, In-
vestitions- und Sicherheitspolitik gerückt: Wel-
ches Sicherheits- und Transparenzniveau müssen
digitale Systeme haben, für die wir unsere Infra-
strukturmärkte öffnen? Welche Abhängigkeiten
von technischen Komponenten und ihren Her-
stellern wollen wir uns leisten? Wie weitgehend
muss die Beurteilungsfähigkeit im Hinblick auf
importierte Technologie gehen? Reichen techni-
sche Prüfungen, oder welche ergänzenden Maß-
nahmen sind erforderlich?
Mit einer wachsenden Zahl von Cybersicher-
heitsvorgaben versuchen die Staaten weltweit,
ihre Fähigkeit zur Beurteilung und Steuerung der
Sicherheit komplexer digitaler Systeme sicherzu-
stellen. In einem gemeinsamen Projekt des Cyber
Policy Center der Stanford University und des Di-
gital Society Institute der ESMT Berlin haben wir
die Regulierung rund um die Cybersicherheit in
den USA und Europa verglichen. Eine der zentra-
len Erkenntnisse: Die Cybersicherheitsregulie-
rung wächst gleich dreifach.
Erstens gibt es auf die Abwehr von Angriffen
gerichtete Regeln wie das deutsche IT-Sicher-
heitsgesetz. Sie verlangen, die Technologie gegen
Angreifer zu härten und Vorfälle zu melden. In
den USA gibt es keine branchenübergreifende
Regulierung, doch das „NIST Cybersecurity Fra-
mework“ erfüllt eine ähnliche Funktion. Zwei-
tens verlangt das Datenschutzrecht Sicherheits-
maßnahmen, um die persönlichen Daten zu
schützen. Solche Regeln gibt es in den USA be-
reits für Kalifornien, in Europa haben wir die Da-
tenschutz-Grundverordnung. Drittens zielt eine
wachsende Zahl von Regeln auf die Cybersicher-
heit in Branchen und Sektoren ab, etwa für Medi-
zingeräte, Banken oder die Energieversorgung.
Einerseits legen die USA und Europa ihren Re-
gulierungen sehr ähnliche Prinzipien zugrunde
und definieren ähnliche Instrumente: Eigenver-
antwortung der Betreiber, den Risiken angemes-
sene Sicherheitsmaßnahmen, standardisierte
Managementsysteme, Meldung von Vorfällen,
Zusammenarbeit zwischen Staat und Wirtschaft.
Damit unterscheiden sich Europa und die USA
deutlich von den überwachungsorientierten Cy-
bersicherheitsregeln in China und Russland.
Andererseits wird es für Unternehmen aber
immer schwieriger, die Flut von Regeln einzuhal-
ten: Widersprüche zwischen Datenschutz- und
IT-Sicherheitsrecht, Ungereimtheiten zwischen
sektoralen und branchenübergreifenden Regeln,
Inkompatibilitäten zwischen Regelungen in den
USA und Europa – all das erschwert den Handel
im transatlantischen Raum. Die BMW-Produktion
in Spartanburg, South Carolina, unterliegt ande-
ren Regeln als die Produktion in Leipzig. GE-Me-
dizintechnik muss in Europa andere Cybersicher-
heitsanforderungen erfüllen als in Nordamerika.
Ein weiterer Ausbau der Regeln zeichnet sich
ab: In den USA wird über ein Datenschutzgesetz
auf Bundesebene debattiert. In Deutschland kur-
sieren erste Entwürfe für ein IT-Sicherheitsgesetz
2.0. Kalifornien hat bereits ein Gesetz für die Si-
cherheit von IoT-Geräten (Internet der Dinge)vorgelegt. In der EU ist vor Kurzem der EU Cy-
bersecurity Act in Kraft getreten, der die Zertifi-
zierung der Cybersicherheit regelt. Branchenspe-
zifische Regulierungen stehen bevor, zum Bei-
spiel im Bereich der Kraftfahrzeuge, indem
Cybersicherheitsanforderungen in die Zulas-
sungsregeln kommen.
Die USA und Europa waren über viele Jahr-
zehnte Vorreiter für global adaptierbare Compli-
ance-Modelle, mit denen unternehmerische Risi-
ken in nachvollziehbarer Form gemanagt werden
können. Die USA und Europa haben zudem mit-
einander die größte Handels- und Investitionsbe-
ziehung weltweit. Digitale Dienste und Produkte
haben einen großen Anteil daran. Uns verbindet
eine ähnliche Sicht auf Cyberrisiken, auf Mög-
lichkeiten zu ihrer Vermeidung, auf die Rollen
von Unternehmen und Staat und auf die Notwen-
digkeit rechtsstaatlicher Verfahren.
Europa und die USA sollten den Wildwuchs
der Cyberregulierung gemeinsam überwinden.
Die Eckpunkte liegen auf der Hand – transparen-
tes Risikomanagement, Sicherheitsmaßnahmen
nach dem Stand der Technik, Meldung von Vor-
fällen, Zusammenarbeit von Staat und Wirt-
schaft. Gesetzgeber, Wissenschaftler und Unter-
nehmen sind gefordert, ein transatlantisches
Rahmenwerk zu erarbeiten, das als Fundament
für Cybersicherheit in Europa und den USA die-
nen kann – und als Vorbild für die Welt.Gemeinsame
Cybersicherheit
Europa und die USA brauchen ein Regelwerk,
fordern Andrew Grotto und Martin Schallbruch.
Andrew J. Grotto leitet das Programm
Geopolitics, Technology and Governance der
Stanford University. Martin Schallbruch ist
Direktor am Digital Society Institute, ESMT.Pressefoto
Gesetzgeber,
Wissenschaft -
ler und Unter -
nehmen sind
gefordert,
ein transatlan -
tisches Rahmen -
werk zu
erarbeiten.
&%! " ' " !"# ! &!" !# "! ! $") # $# !
$" !$" # %!
#! $"" #! $ &! #' !#!
&"# #" $ !# # '" (" $ # ! #!$
%! ! #"$ $ !# #$ $ $
(^) .
(
$
. ' (' '$ +$ !,$ !%(*$ ' . $
$"("&%#)$-("'
Gastkommentar
(^48) DONNERSTAG, 12. SEPTEMBER 2019, NR. 176
Anzeige