Zusammenfassung

  • Der Communications Regulation and Digital Hub Development Agency (Amendment) Act 2023, verkündet am 2. März 2023, verpflichtet Anbieter, sicherheitsrelevante Vorfälle mit erheblicher Auswirkung «ohne unangemessene Verzögerung» an ComReg zu melden — und nennt weder Stunde noch Tag.
  • Die Fristen von 24 Stunden, 72 Stunden und 30 Kalendertagen stammen nicht aus dem Gesetz, sondern aus der Regulierungsentscheidung D08/24, veröffentlicht 297 Tage nach dem Inkrafttreten der Pflicht.
  • Schweigen hat zwei Preise: bis zu 5.000 Euro im summarischen Verfahren und eine administrative Obergrenze vom Höheren aus 5 Millionen Euro oder 10 Prozent des irischen Umsatzes, die erst nach Bestätigung durch den High Court greift.
  • Die einzige Zahl, die ein Dritter jährlich prüfen kann, ist eine Summe: 15 Vorfälle 2024 gegenüber 16 im Jahr 2023, während die verlorenen Nutzerstunden von 22.818.885 auf 32.574.831 stiegen.

Am 9. Juni 2023 musste ein irischer Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste einen sicherheitsrelevanten Vorfall mit erheblicher Auswirkung jemandem melden. Dieser Jemand ist nicht das National Cyber Security Centre, sondern die Commission for Communications Regulation, ComReg. Der verkündete Text des Gesetzes Nr. 4 von 2023 sagt das in Abschnitt 11(1) deutlich: Meldung an die Regulierungsbehörde «ohne unangemessene Verzögerung». Abschnitt 11(4) ergänzt die Pflicht, laufend über Behebung und Wiederherstellung zu berichten. Abschnitt 12(1) verpflichtet zusätzlich, potenziell betroffene Nutzer über verfügbare Schutzmaßnahmen oder Abhilfen und gegebenenfalls über die Bedrohung selbst zu informieren.

Das ist die gesamte Chronologie, die das Gesetz enthält. «Ohne unangemessene Verzögerung» ist eine Formulierung, keine Uhr. Und hier wird die irische Kette interessant: Die Uhr kam später, und der Gesetzgeber hat sie nicht gestellt. Die Entscheidung D08/24, veröffentlicht mit ComReg 24/23 und datiert auf den 2. April 2024, legt Schwellen, Informationspflichten und Stufen fest: ein Erstbericht so bald wie möglich und innerhalb der ersten 24 Stunden, eine Aktualisierung binnen 72 Stunden, falls der Vorfall nicht behoben ist, eine Meldung der Behebung und ein umfassender Bericht samt Ursachenanalyse binnen 30 Kalendertagen nach dem Bericht zum erheblichen Vorfall. Absatz 140 derselben Entscheidung verankert dieses 24-Stunden-Fenster am Zeitpunkt der Entdeckung durch den Anbieter, nicht am Zeitpunkt des Vorfalls.

Zwischen dem Inkrafttreten und diesem Dokument liegen 297 Tage. Das ist meine Rechnung über zwei veröffentlichte Daten — den 9. Juni 2023, den Artikel 2 der S.I. No. 299 of 2023 bestimmt (erlassen am 6. Juni 2023), und den 2. April 2024 auf dem Titelblatt von ComReg 24/23 —, und sie beschreibt den Charakter dieser Kette gut: erst die Pflicht, sehr viel später die Stoppuhr. Der Gesetzgebungsweg selbst dauerte 99 Tage vom verkündeten Text bis zum Inkrafttreten; die Ingangsetzungsverordnung verzeichnet die Veröffentlichung der Bekanntmachung am 13. Juni 2023. Der parlamentarische Schlussdruck, Bill Nr. 86c von 2022, hält den Beschluss beider Häuser für den 22. Februar 2023 fest (Oireachtas).

Auch der Preis des Schweigens ist keine einzelne Zahl. Abschnitt 11(8)(a) macht die Verletzung der Meldepflicht aus Abschnitt 11 zur Straftat, im summarischen Verfahren mit einer Geldstrafe der Klasse A zu ahnden. Der Betrag steht nicht im Kommunikationsgesetz, sondern in Abschnitt 3 des Fines Act 2010: Eine Geldstrafe der Klasse A ist eine Geldstrafe von höchstens 5.000 Euro. Das ist eine gesetzliche Obergrenze für ein summarisches Verfahren, keine feste Gebühr und keine in einem Fall beobachtete Sanktion.

Der andere Preis liegt im Verwaltungsverfahren und ist eine andere Größenordnung. Die Abschnitte 11(7) und 60(1)(a) verbinden die Pflichten aus Abschnitt 11 mit Teil 7; die Abschnitte 90(2) und 91(1)(a)–(b) ermöglichen Abhilfeanordnungen und finanzielle Sanktionen; Abschnitt 94(5)(a) setzt die Obergrenze für eine juristische Person auf das Höhere aus 5 Millionen Euro und 10 Prozent des irischen Umsatzes des Geschäftsjahres, das im Jahr unmittelbar vor dem Jahr des letzten Verstoßes endet. Abschnitt 92(1) verlangt die Bestätigung durch den High Court nach Abschnitt 109, bevor eine administrative Sanktion wirkt, und Abschnitt 90(3) schließt eine Strafverfolgung für ein Verhalten aus, das bereits als adjudizierter Verstoß behandelt wurde. Abschnitt 63(3) erlaubt das Verwaltungsverfahren, wenn ComReg sich gegen eine summarische Verfolgung entscheidet oder nach einer Überweisung ohne Strafverfahren. Die Leitlinien für Adjudikationsverfahren 25/03a beschreiben den ganzen Weg — Überweisung durch einen befugten Bediensteten mit Zustimmung der Kommission, ein Sanktionsmenü aus Einstellung oder Behebung, Geldbußen, Rückzahlungen und Entschädigungen, Veröffentlichung bestätigter Adjudikationen mit Ausnahmen und Schwärzungen — und stellen in Absatz 8.2 klar, dass nichts ohne den High Court wirkt.

Zwischen 5.000 Euro und 5 Millionen Euro liegt der Faktor 1.000. Das ist der Abstand zweier gesetzlicher Grenzen, keine beobachtete Geldbuße, und es beschreibt das Design genau: Der schnelle, billige Weg bestraft Schweigen mit einem Betrag, über den ein großer Anbieter nicht blinzelt; der teure Weg verlangt eine Akte, eine gerichtliche Bestätigung und deren Veröffentlichung.

Und ein Name fehlt. Im verkündeten Text, den ich für diesen Artikel gelesen habe, kommt das National Cyber Security Centre nicht vor. Abschnitt 5 definiert ein CSIRT als ministerielle Einheit zur Vorfallbewältigung, und Abschnitt 16(1)(a) erlaubt ComReg, sie zu konsultieren, mit ihr zusammenzuarbeiten, Informationen auszutauschen und ihre Unterstützung in Anspruch zu nehmen. Mehr allgemeine Funktionen weist dieses Dokument ihr nicht zu. Die eigene CSIRT-IE-Seite des NCSC beschreibt das Team als Stelle innerhalb des NCSC, die ihre Konstituenten bei der Bewältigung von Sicherheitsvorfällen auf nationaler Ebene unterstützt, vor allem Regierungsstellen und Anbieter kritischer nationaler Infrastruktur, und nennt Monitoring, Warnungen, Reaktion, Risikoanalyse und die Teilnahme am CSIRT-Netzwerk. Eine undatierte Organisationsbeschreibung, die das Gesetz von 2023 nicht als Rechtsquelle dieser Zuständigkeiten angibt.

Es bleibt die Zahl, die von außen tatsächlich prüfbar ist. Abschnitt 11(9) verlangt eine jährliche Zusammenfassung der eingegangenen Meldungen und der ergriffenen Maßnahmen an den Minister, die Europäische Kommission und ENISA. Die Network-Incidents-Seite von ComReg bestätigt diese Zusammenfassung, benennt ComReg 24/23 und D08/24 als Rahmen der Meldung und verweist Anbieter auf das Meldeportal bei Data.ComReg. Die Zahlen stehen in den Jahresberichten. Der Bericht für 2023, ComReg 24/53, verzeichnet 16 gemeldete Vorfälle im Jahr 2023 gegenüber 12 im Jahr 2022 sowie 22.818.885 verlorene Nutzerstunden. Der Bericht für 2024, ComReg 25/42R, datiert auf den 1. Juli 2025, verzeichnet 15 Vorfälle im Jahr 2024 gegenüber 16 im Jahr 2023 sowie 32.574.831 verlorene Nutzerstunden.

Die Differenz dieser beiden Stundensummen beträgt 9.755.946, rund 43 Prozent mehr. Es ist meine Rechnung über zwei veröffentlichte Summen, und sie sollte nicht überdehnt werden: Die Berichte sagen nicht, dass die Nutzerstunden ausschließlich aus den bei ComReg gemeldeten Vorfällen stammen. Stunden durch Vorfälle zu teilen ergäbe daher eine Zahl, die kein Dokument trägt. Was das Material trägt, ist die Richtung: ein Vorfall weniger und erheblich mehr verlorene Stunden.

Auch der Rahmen steht nicht still. Die Konsultation 25/84, datiert auf den 5. Dezember 2025, schlägt nach den Erfahrungen mit Storm Eowyn Änderungen an wetterbezogenen Meldevorlagen, an Häufigkeit und Zeitpunkten der Meldung sowie an der geografischen Bewertung der Erheblichkeit vor. Das sind Vorschläge: Eine endgültige Entscheidung habe ich nicht festgestellt, und das Titelblatt bezeichnet die Fassung zugleich als FINAL, was aus einer Konsultation keine wirksame Anordnung macht.

Zwei konkrete Grenzen, beschränkt auf das tatsächlich Gelesene. Die Network-Incidents-Seite zeigt keine individuellen Eingaben einzelner Anbieter und keine Eingangszeitstempel; das authentifizierte Anbieterportal habe ich nicht aufgerufen, und ein Link dorthin belegt keine öffentliche Zugänglichkeit des Eingereichten. Und in dem geprüften Satz — Gesetz, D08/24, Adjudikationsleitlinien und zwei Jahresberichte — habe ich keine Verfolgung, keine Sanktion und keine vom High Court bestätigte Adjudikation gegen einen namentlich genannten Anbieter wegen Abschnitt 11 festgestellt.

Eine Zahl widerspricht dem Gesetzestext und gehört mit ihrer Quelle genannt: Die Stellenanzeige für die Leitung der Adjudication Unit bei ComReg beschreibt administrative Geldbußen von bis zu 10 Millionen Euro oder 10 Prozent des Umsatzes. Der verkündete Text nennt 5 Millionen. Den Grund der Abweichung habe ich nicht festgestellt, und ich verwende diese Zahl nicht als wirksame Obergrenze.

Was dieser Artikel dem bereits auf demselben Verzeichniseintrag Veröffentlichten hinzufügt, ist konkret. Die beiden früheren Stücke zu diesem Objekt — eines vom 21. Oktober 2026 über einen Regierungs-Workflow in Großbritannien, in dem ein einzelner Kommentar Code ausführte, und eines vom 10. Oktober 2026 über die Schweizer Pläne für ein eigenständiges Cybersicherheitsgesetz — prüfen die irische Kette nicht: die Pflicht, ihren Adressaten, die von der Behörde gebaute Uhr, den geteilten Preis und die Summe, die ein Dritter lesen kann. Genau das wird hier geprüft.

Auch was die Einordnung ändern würde, ist konkret. Eine Verfolgung nach Abschnitt 11, eine bestätigte und veröffentlichte Adjudikation oder ein Jahresbericht, der Anbieter und Meldezeitpunkte aufschlüsselt, würden aus der Summe eine prüfbare Rechenschaft machen. Bis dahin hat Irland das Instrument, den Preis und den Zähler; was es im gelesenen Material nicht hat, ist eine Möglichkeit zu erkennen, wer zu spät kam.

Der Verzeichniseintrag zum National Cyber Security Centre hält das Objekt fest, über das dieser Artikel geschrieben wurde.