Der Cyber Safety Review Board kann alles feststellen und niemanden binden

Zusammenfassung

• Section 5 der Executive Order 14028 gibt dem Cyber Safety Review Board die Verben „prüfen und bewerten“ sowie „dem Secretary Empfehlungen vorlegen“. Das einzige Umsetzungsverb des Abschnitts hat den Secretary of Homeland Security zum Subjekt, qualifiziert durch „as appropriate“.
• Das Produkt des Gremiums ist damit ein Nachweisregister, kein Rechtsbehelf. Zum Register wird Verbindlichkeit erst, wenn jemand sie herstellt: durch Gesetz, durch Beschaffungs- oder Versicherungsklauseln oder durch Verwendung als Beweismittel.

Die Order wurde am 12. Mai 2021 unterzeichnet und fünf Tage später im Federal Register als Dokument 2021-10460 veröffentlicht (Executive Order 14028; Veröffentlichung des Weißen Hauses). Section 5 errichtet den Cyber Safety Review Board: Unterabschnitt 5(a) weist den Secretary of Homeland Security an, ihn einzurichten, und 5(b) umreißt das Arbeitsfeld — Bedrohungsaktivität, Schwachstellen, Minderungsmaßnahmen und Reaktionen von Behörden bei erheblichen Cyber-Vorfällen, die Informationssysteme der zivilen Bundesverwaltung oder nicht-bundesstaatliche Systeme betreffen.

Der entscheidende Satz steht auf Englisch und ist kurz: „The Board shall review and assess“. Prüfen und bewerten. Nicht entscheiden, nicht sanktionieren. Die Unterabschnitte 5(d) und 5(h) verengen das Produkt weiter: Empfehlungen, Beratung, Informationen. 5(d) lautet „provide recommendations to the Secretary“. In 5(j) wird das Verb endlich ein Umsetzungsverb, doch das Subjekt wechselt: „take steps to implement them as appropriate“ — der Secretary prüft die Empfehlungen und ergreift die Schritte, die er für angemessen hält.

Ich habe Section 5 im Text des Federal Register Unterabschnitt für Unterabschnitt gelesen, von 5(a) bis 5(j). In diesem Abschnitt findet sich keine ausdrückliche Formulierung, die Schlussfolgerungen oder Empfehlungen des Gremiums für die geprüften Stellen verbindlich macht, und ebenso wenig eine Berichtspflicht, eine Frist oder eine benannte Folge für das Nichtaufgreifen. Die Aussage reicht genau so weit: Sie sagt, dass dieser Abschnitt die Bindung nicht enthält, nicht dass es sie nicht gibt. Sie kann von anderswo kommen, und genau das untersucht dieses Briefing.

Der Zuschnitt ist Section 5 und reicht nicht in spätere Gesetze, Verträge oder Behördenpraxis.

Die Behörde selbst beschreibt die Arbeit des Gremiums als beratend und gibt an, seine Feststellungen und Empfehlungen seien für private und staatliche Stellen nicht bindend (CISA-Seite zum Gremium; CISA-Ressourcenseite). Die Art dieses Materials muss klar benannt werden: Beide Seiten wurden am 12. November 2026 als vom Anbieter verfasste Zusammenfassungen gespeichert, nicht als lesbarer Seitentext. Die Beschreibung bleibt damit ein sekundärer Hinweis und darf nicht als Wortlaut der Behörde zitiert werden. Für die Formulierung der Klauseln gilt der Text des Federal Register.

Es gibt noch die Standardklausel, die in dieser Debatte gern herangezogen wird, Section 11(d): Die Order begründe keine durchsetzbaren Rechte oder Vorteile (Text der Order). Sie betrifft die Begründung von Rechten im Allgemeinen und ist keine ausdrückliche Erklärung, die Empfehlungen des Gremiums seien unverbindlich. Beides zu verwechseln ist der häufigste Bedeutungstausch in dieser Diskussion. Zur Reichweite der Belege gehört eine ehrliche Anmerkung: Die Seite des Federal Register selbst weist darauf hin, dass ihre XML-Fassung eine inoffizielle Informationsressource ist, und empfiehlt den Abgleich mit der Ausgabe bei govinfo. Vorhanden sind knappe wörtliche Fragmente und eine Zusammenfassung, keine vollständige Wiedergabe der Order.

Was ist dieses Dokument also? Legt man die Struktur von Section 5 offen, zeigt sich eine Trennung von Verwaltung und Durchsetzung: Die Bewertung bleibt beim Gremium, das Ermessen beim Secretary, und die geprüfte Stelle steht außerhalb der Pflichtenkette. Eine Untersuchungsfeststellung, die niemanden binden kann, ist ein Register — es hält fest, was geschah, warum es geschah und wer sich ändern müsste. Register haben Wert: Sie machen vereinzelte Vorfälle als Muster lesbar. Aber ein Register ist kein Rechtsbehelf. Der Rechtsbehelf beginnt, wenn jemand das Register in eine Pflicht verwandelt.

Die Wege dieser Verwandlung sind konkret, und keiner liegt in Section 5. Ein Gesetz macht die Empfehlung zur gesetzlichen Pflicht, mit Frist und Sanktion. Eine Beschaffungsklausel schreibt sie in den Vertrag und nimmt dem Säumigen den Auftrag. Der Versicherungsfragebogen macht sie zur Bedingung des Schutzes, mit Prämie und Selbstbehalt als Antwort auf Befolgung. Ein Gerichtsverfahren nutzt sie als Beweismittel. Ein wachsender Fallbestand macht den Einzelfall als Muster sichtbar. Keiner dieser Wege ist einer, den das Gremium selbst geht, und keiner passt in einen einzigen Abschnitt einer Executive Order.

Das ist keine Geringschätzung des Gremiums. Die Kausalkette eines Vorfalls rekonstruieren zu können, ist für sich genommen eine knappe Fähigkeit, und viele Aufsichten erreichen diesen Punkt nicht. Das Problem liegt in der Buchführung: Feststellen als Lösen zu lesen und die Veröffentlichung des Berichts als Abschluss des Falls. Das wohligste Gefühl nach einem Vorfall ist ein gut geschriebener Bericht. Die geprüfte Organisation arbeitet danach weiter wie zuvor, bis jemand diesen Bericht nimmt und etwas anderes damit tut.

Im Verzeichnis der US-Regierung ist die Cybersecurity and Infrastructure Security Agency zugleich Halterin von Nummernressourcen und sicherheitspolitische Zentrale (Verzeichniseintrag). Das Gremium hängt unter ihr, und diese Unterordnung liest sich leicht als Befugnis. „security“ im Namen bedeutet nicht, dass ein Zwangsmittel in der Hand liegt.

Zuletzt die Grenze der Erhebung. Dieses Briefing hat weder die Geschäftsordnung des Gremiums noch den lesbaren Text irgendeines Berichts erhalten; deshalb erscheinen hier keine Zahl von Empfehlungen, keine Adressatenliste und keine Anzahl von Berichten. Im Rahmen der fünf Dokumente, die ich gelesen habe — der Order-Text im Federal Register, zwei CISA-Seiten, die Veröffentlichung des Weißen Hauses und die Startseite von dhs.gov — ist keine amtliche Aussage über Zusammensetzung oder aktuelle Stellung des Gremiums aufgetaucht. Die Aussage endet dort und behauptet nicht, dass es eine solche Aussage nicht gibt.