48 Meldepflichten für Cybervorfälle. Washington hat zu viele Uhren und keinen Fahrplan.

Summary

• Der GAO erfasste bis Juni 2026 insgesamt 117 geltende bundesweite Cyberregelungen für private Stellen in neun kritischen Infrastruktursektoren, erlassen von 37 Behörden. Achtzig enthielten mindestens eine von drei proaktiven Meldekategorien; 48 verlangten Meldungen zu Cybervorfällen.
• Definitionen, Auslöser, Fristen, Inhalte und Adressen können sich überschneiden oder widersprechen. Die Zahl 80 beschreibt ein mögliches Konfliktfeld zwischen Regeltypen; sie belegt keine 80 doppelten Meldungen eines Unternehmens.
• Das Office of the National Cyber Director, ONCD, sollte die Abstimmung koordinieren. Im Juli 2026 fehlte noch ein veröffentlichter Umsetzungsplan zur neuen nationalen Cyberstrategie mit benannten Zuständigkeiten und nächsten Schritten.

Ein Vorfall, mehrere Fristen und eine knappe Schicht

Eine Alarmmeldung aus dem Netz ist am Anfang selten vollständig. Die Einsatzleitung prüft, ob ein Angreifer wirklich eingedrungen ist, welche Systeme betroffen sind und welche Verbindung sie trennen darf, ohne einen wichtigen Dienst lahmzulegen. Die staatliche Stelle möchte früh erfahren, wenn andere Betreiber bedroht sein könnten. Genau in dieser Phase muss das Unternehmen oftmals entscheiden, ob ein Vorfall nach mehreren unterschiedlichen rechtlichen Definitionen bereits meldepflichtig ist. Die Uhr des Angriffs und die Uhren der Behörden starten nicht immer am selben Punkt.

Der GAO-Bericht vom Juli 2026 macht die Verwaltungsarchitektur sichtbar. Die Prüfer identifizierten 117 bestehende Bundesregelungen mit Cyberanforderungen für Unternehmen aus neun kritischen Infrastruktursektoren. Sie stammten von 37 Bundesbehörden. Achtzig der 117 enthielten mindestens eine proaktive Pflicht, Informationen über Vorfälle, Sicherheitspläne und andere technische Angaben oder abgeschlossene Prüfungen und Bewertungen einzureichen. 48 Regelungen betrafen Vorfälle, 52 Pläne oder technische Angaben und 25 Audits und Bewertungen. Eine Regel kann in mehreren Gruppen stehen. In den 80 Regeln steckten zusammen mindestens 125 nach Typ gezählte Anforderungen.

Die 48 Vorfallregeln kamen von 27 Behörden. Der Originalbericht beschreibt Unterschiede bei der Definition eines meldepflichtigen Ereignisses, beim Schwellenwert, beim Beginn und der Länge einer Frist, bei verlangten Angaben und bei der Übermittlungsstelle. Das sind Entscheidungen für Menschen, die während eines Angriffs noch Fakten sammeln. Eine erste Meldung kann zu früh für eine belastbare Beschreibung und zu spät für eine der vielen rechtlichen Uhren sein. Spätere Korrekturen müssen wiederum die richtigen Adressaten erreichen.

Die große Zahl hat eine klare Grenze. Der GAO ordnete Regeln nach der Art der verlangten Angaben und stellte ein mögliches Risiko doppelter oder widersprüchlicher Pflichten fest. Er wies nicht nach, dass jedes der 80 Regelwerke demselben Unternehmen eine identische Zweitmeldung abverlangt. Auch Kosten oder verlorene Minuten in einem konkreten Einsatz wurden nicht gemessen. Dafür braucht es eine engere Probe: ein Betreiber, seine tatsächlich betroffenen Tätigkeiten, ein bestimmter Vorfall und alle dazu geltenden Auslöser, Fristen, Datenfelder und Empfänger. Erst diese Gegenüberstellung trennt berechtigte Sonderfragen von doppelter Erfassung.

Die Finanzbranche zeigt die Kreuzung

Im Finanzbereich kann ein Unternehmen je nach Geschäft mehreren der 15 bereits geltenden Regeln zur Meldung von Cybervorfällen unterliegen. Bankenaufsicht, Wertpapieraufsicht und andere Stellen verfolgen unterschiedliche Risiken. Sie dürfen Informationen verlangen, die für ihren Auftrag nötig sind. Das Unternehmen muss dennoch während der Störung herausfinden, welche Kombination gilt und ob eine Angabe, die bei der einen Stelle eingegangen ist, der anderen etwas nützt.

Hinzu kam im Bericht eine mögliche neue Querschnittsregel nach dem Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA. Zum geprüften Zeitpunkt war sie ein Entwurf und gehörte nicht zu den 117 geltenden Regeln. CISA erwog eine Ausnahme für im Wesentlichen gleichartige Meldungen, sodass eine Einreichung zwei Pflichten erfüllen könnte. Für den Betreiber entsteht daraus erst eine nutzbare Abkürzung, wenn eine endgültige Vorschrift den Kreis der Berechtigten, die benötigten Angaben, die Weiterleitung und die anerkannten Empfangsbestätigungen festlegt.

Auch außerhalb akuter Vorfälle kostet Mehrfachzuständigkeit Zeit. Ein Dienstleister für mehrere Bundesbehörden kann ähnliche Sicherheitspläne oder Auditnachweise wiederholt vorlegen müssen. Im Verkehrssektor können je nach Tätigkeit bis zu sieben Bundesregeln die Vorlage von Sicherheitsplänen verlangen. Jede Behörde sieht ihr eingegangenes Dokument. Der Anbieter verwaltet Versionen, Antworten auf Nachfragen und Belege über die Zustellung. Der Koordinationsaufwand entsteht in seiner Organisation, obwohl die Behörden die Nachfrage erzeugen.

Ein Koordinator ist benannt; der Übergang bleibt offen

Der Kongress beauftragte ONCD mit der Koordination der Vereinheitlichung von Cyberregeln. Der Cyber Incident Reporting Council lieferte Grundlagen für acht Empfehlungen, die das Department of Homeland Security 2023 veröffentlichte, etwa Modellbegriffe für meldepflichtige Vorfälle, Fristen und Auslöser. Ein behördenübergreifendes Regulierungsforum befasste sich ebenfalls mit Annäherungen. Die nationale Cyberstrategie vom März 2026 stellte geringere unnötige Lasten und bessere Abstimmung in Aussicht.

Die vom GAO dokumentierte Abfolge zeigt, wo das Mandat stecken blieb. Das Forum war seit Ende 2024 nicht mehr aktiv. Bis Mai 2026 hatte das DHS keinen Status zur Umsetzung der acht Empfehlungen berichtet. Der GAO erbat im September 2025 und im Juni 2026 Informationen von ONCD; bis zum Ende jenes Juni war keine Antwort eingegangen. Im Juli war noch kein Umsetzungsplan zur neuen Strategie veröffentlicht. Es blieb unklar, wer konkurrierende Auslöser vergleicht, wer eine gemeinsame Meldung rechtlich anerkennt und wer dem Betreiber den Eingang bei allen zuständigen Stellen bestätigt.

Ein brauchbarer öffentlicher Nachweis wäre ein gepflegter Regelkatalog mit Geltungsbereich, Auslöser, Fristbeginn, Pflichtfeldern, Empfänger, zulässiger Weiterverwendung und Empfangsnachweis. Dazu gehört die Behörde, die Änderungen einträgt. Eine Übung mit einem Unternehmen, das unter zwei Regelbereiche fällt, könnte den tatsächlichen Versand testen. Die technische Reaktion und die Verwaltungsarbeit sollten getrennt gemessen werden. Nur dann wird sichtbar, ob bessere Abstimmung mehr Zeit für die Abwehr und bessere Informationen für den Staat schafft.

Der Staat braucht frühzeitige Warnungen. Ein Betreiber braucht einen Weg, auf dem seine Warnung rechtssicher ankommt. Washington kann beides verlangen, wenn es seine Empfangsstellen auch miteinander verbindet.

Quellen: GAO-Berichtsseite; vollständiger Originalbericht.