Erste Reaktion von ITI auf den Cybersecurity Act: Fortschritte bei Zertifizierung und ENISA, Vereinfachung weiterhin unzureichend
BRÜSSEL – Der globale Technologie-Branchenverband ITI, der Information Technology Industry Council, hat auf die Überarbeitung des Cybersecurity Act (CSA, Rechtsakt zur Cybersicherheit) durch die Europäische Kommission reagiert und betont, dass diese trotz wichtiger Schritte zur Harmonisierung und Verbesserung der Zertifizierungssysteme sowie des Mandats der ENISA keine spürbare Vereinfachung bewirkt.
Zwar bekräftigt der Vorschlag das Bekenntnis zur Straffung politischer Maßnahmen, neue substanzielle Vereinfachungsmaßnahmen sind jedoch begrenzt.
„Nach der verpassten Chance des Digital Omnibus fehlen im Cybersecurity Act konkrete Maßnahmen, um den Aufwand für die Einhaltung von Vorschriften zu verringern und Organisationen zu ermöglichen, sich auf die Stärkung der Sicherheit statt auf Bürokratie zu konzentrieren“, sagte Guido Lobrano, ITI Director General für Europa.
„Der Vorschlag signalisiert Absicht, doch die tatsächlichen Vereinfachungsmaßnahmen bleiben hinter den Erwartungen zurück“, fügte Herr Lobrano hinzu.
ITI begrüßt die Bemühungen um eine Verbesserung des Europäischen Rahmens für die Cybersicherheitszertifizierung (ECCF). Insbesondere greift der Vorschlag frühere Herausforderungen auf, indem er einen wirksameren, risikobasierten Ansatz in den Vordergrund stellt, und enthält keine ausdrücklichen souveränitätsbezogenen Beschränkungen. Trotz der klaren Verpflichtung, Interessenträger während der Entwicklung von Zertifizierungen zu konsultieren, fehlt jedoch jeder Hinweis auf ein konkretes Instrument, das dies ermöglicht. Die Frist von zwölf Monaten für die Ausarbeitung eines Entwurfs ist zweischneidig: Sie kann zwar zu mehr Effizienz führen, birgt aber auch das Risiko zu knapper Zeitpläne, die eine sinnvolle Einbindung der Interessenträger verhindern.
Das erweiterte Mandat der ENISA erkennt zu Recht die entscheidende Rolle der Agentur für die Cybersicherheit Europas und für die Förderung der internationalen Zusammenarbeit an. Der Vorschlag verpflichtet die ENISA zudem ausdrücklich, mit Interessenträgern aus dem Privatsektor zusammenzuarbeiten, und erlaubt die Einrichtung öffentlich-privater Partnerschaften – was die gemeinsame Entwicklung von Leitlinien, Zertifizierungen und Initiativen zum Kapazitätsaufbau erleichtert.
Cybersicherheit ist ein Eckpfeiler technologischer Souveränität. Im aktuellen Kontext ist die EU zu Recht bestrebt, ihre Sicherheit und die Resilienz der digitalen Lieferkette zu stärken. Die Einführung des Rahmens für vertrauenswürdige IKT-Lieferketten (Trusted ICT supply chain framework) im Vorschlag steht grundsätzlich im Einklang mit den Empfehlungen von ITI (öffnet in einem neuen Tab), klare, objektive und risikobasierte Kriterien für die Bewertung „vertrauenswürdiger Technologieanbieter“ festzulegen – und dürfte bei korrekter Umsetzung in dieser Hinsicht für mehr Klarheit sorgen. Sofern nichttechnische Kriterien zur Bestimmung vertrauenswürdiger Technologieanbieter herangezogen werden, müssen diese eng gefasst und verhältnismäßig sein sowie durch einen technischen, risikobasierten Sicherheitsansatz ergänzt werden.
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI is Supercharging Cyber Threats. Defenders Need New Tools and Partnerships.
