Summary

  • Council of the EU hat am 21. Oktober ein Verhandlungsmandat beschlossen, das den vorgeschlagenen EU-weiten Meldeeingang durch nationale Eingangspunkte in den Mitgliedstaaten ersetzt.
  • ENISA soll auf EU-Ebene über Meldepflichten informieren und zum passenden nationalen Eingang führen. Diese Informationsstelle dürfte selbst keine Vorfallmeldung annehmen oder speichern.

Ein Vorfall, mehrere Gesetze, womöglich mehrere Behörden: Schon die Suche nach dem richtigen Empfänger kann die ersten Stunden aufbrauchen. European Commission hatte für solche Meldungen einen zentralen EU-Eingang vorgeschlagen. Die Ratsposition vom 21. Oktober stellt den Empfang wieder vor die Haustür der Mitgliedstaaten. In Brüssel bliebe die Auskunft, welcher Weg zu welcher Tür führt.

Der Mandatstext macht aus diesem Unterschied eine technische Grenze. Der vorgeschlagene Artikel 23a beauftragt ENISA mit einem Informationspunkt, der einschlägige Pflichten ermittelt und auf den zuständigen nationalen Eingang verweist. Absatz 4 verbietet dort das Einreichen, Übermitteln, Speichern und Verarbeiten von Vorfallmeldungen; selbst Angaben zur Identität des Meldenden oder zum Vorfall sollen nicht eingesammelt werden. Der Wegweiser hat also mit Absicht keinen Briefschlitz.

Artikel 23b weist den Staaten den Empfang zu. Sie können bestehende Systeme verbinden und eingehende Informationen an zuständige Behörden oder CSIRTs weiterleiten, ohne ihre interne Zuständigkeitsordnung umzubauen. Zwischen den nationalen Eingängen sollen sie Interoperabilität anstreben. ENISA hätte die Aufgabe, unverbindliche technische und organisatorische Empfehlungen sowie eine offene Softwarelösung für die Staaten zu entwickeln. Gemeinsam wäre das Werkzeug, während Betrieb und Weitergabe national verankert blieben.

Der Rat erwähnt ausdrücklich mögliche Kosten für neue oder angepasste nationale Systeme und ihre Verbindung über Grenzen hinweg. Weitere Vorschriften sollen Meldeformate angleichen und die Mitteilung grenzüberschreitender Vorfälle erleichtern. Für den Absender zählt am Ende die Quittung: Welche Behörde erhielt welche Daten, und wo ist der zweite Teil einer mehrfachen Meldepflicht geblieben?

Das Mandat eröffnet Verhandlungen, sobald das Europäische Parlament seine Position festgelegt hat. Für Produktmeldungen nach dem Cyber Resilience Act besteht bereits ein eigener ENISA-Kanal.