Europäische Zusammenarbeit: Resilienz beginnt vor Ort

Eine Cyberkrise respektiert selten die Grenzen einer Organisation. Eine von mehreren Gemeinden genutzte Software wird kompromittiert, ein IT-Dienstleister verliert seine Zugänge, ein Krankenhaus kann einen im Ausland gehosteten Dienst nicht mehr abrufen: Innerhalb weniger Minuten wird aus einem lokalen Vorfall ein regionales, nationales oder europäisches Problem.

Über Zusammenarbeit wird viel gesprochen. In der Praxis beginnt sie mit ganz gewöhnlichen Dingen: einer Nummer, die nachts erreichbar ist, einem gemeinsamen Vokabular, einem Kanal, der funktioniert, wenn das übliche E-Mail-System ausfällt, und Menschen, die schon vor der Krise miteinander gesprochen haben.

Das erste Signal kommt oft von der Basis

Eine kleine Organisation bemerkt die Symptome vor den Behörden: Konten werden gesperrt, Dateien tragen eine unbekannte Endung, ein Lieferant meldet eine seltsame Verzögerung oder Kunden erhalten gefälschte Nachrichten.

Diese Organisation kann das Ereignis nicht immer einordnen. Ist es eine Panne, ein Betrug, ein Angriff oder ein interner Fehler? Sie zögert mit der Meldung, weil sie fürchtet, sich zu irren, verantwortlich gemacht zu werden oder eine Schwäche preiszugeben.

Nützliche Zusammenarbeit muss den ersten Kontakt einfach machen. Wer meldet, sollte nicht sofort einen perfekten technischen Bericht liefern müssen. Er muss wissen, wen er anruft, welche Beweise er sichert und welche Handlungen er vermeiden sollte.

Eine frühe, aber unvollständige Meldung ist oft mehr wert als eine tadellose Meldung, die drei Tage später verschickt wird.

NIS2 schafft eine gemeinsame Sprache

Die NIS2-Richtlinie weitet die Pflichten zu Risikomanagement und Meldung für wesentliche und wichtige Sektoren aus. In Belgien drängt sie die betroffenen Organisationen dazu, Verantwortliche zu benennen, ihre Abhängigkeiten zu dokumentieren und ihre Reaktion zu organisieren.

Ihr nachhaltigster Beitrag könnte kultureller Natur sein. Sie zwingt die Leitungsebene, Cybersicherheit als Frage der Kontinuität zu betrachten und nicht nur als IT-Problem.

Kollektive Resilienz darf jedoch keine zwei Welten schaffen: große regulierte Einrichtungen, die üben, und kleine Organisationen, die allein gelassen werden. Die für NIS2 entwickelten Planvorlagen, Schulungen und Szenarien müssen für Gemeinden, Vereine, Schulen und KMU angepasst werden, die in denselben Abhängigkeitsketten stehen.

Schnell teilen heißt nicht, alles zu teilen

Bei einem Vorfall sind manche Informationen für andere sofort nützlich: eine betrügerische Domain, ein Datei-Hash, eine Angriffsmethode oder ein beobachtetes Verhalten.

Andere Elemente erfordern einen engeren Kreis: personenbezogene Daten, interne Architektur, eine nicht behobene Schwachstelle, Informationen, die einer Ermittlung unterliegen, oder Geschäftsgeheimnisse.

Reife Zusammenarbeit legt vor der Krise mehrere Verbreitungsstufen fest. Sie bestimmt, wer was erhalten darf, wie lange und unter wessen Verantwortung. So werden zwei Extreme vermieden: aus Angst, zu viel zu sagen, nichts weiterzugeben, oder eine sensible Akte an eine ganze Partnerliste zu verteilen.

Der nationale Plan muss auf die lokale Realität treffen

Belgien hat 2026 seinen nationalen Plan zur Reaktion auf Cyberkrisen überarbeitet. Dieser Rahmen organisiert die nationale Koordinierung und die Verbindung zu den europäischen Mechanismen.

Für einen lokalen Akteur hat ein nationaler Plan nur dann Wert, wenn er sich in konkrete Handgriffe übersetzt:

• eine bekannte Anlaufstelle;
• ein Verfahren, das mit den tatsächlichen Arbeitszeiten der Organisation vereinbar ist;
• Hilfe bei der Einordnung des Vorfalls;
• ein sicherer Weg, Beweise zu übermitteln;
• eine Rückmeldung, was mit der Meldung geschieht.

Lokale Verantwortliche sollten nicht erst von der Existenz des Systems erfahren, wenn ihre Server bereits ausgefallen sind.

Eine Übung zeigt, was ein Dokument verbirgt

Auf dem Papier weiß jeder, wen er anrufen muss. Bei einer Übung gehört die Nummer jemandem im Urlaub, das Dokument liegt auf dem Server, dessen Ausfall gerade simuliert wird, und der Lieferant ist nicht eingebunden.

Die nützlichsten Übungen wollen nicht beeindrucken. Sie testen gewöhnliche Entscheidungen unter Druck:

1. können wir uns treffen, wenn E-Mail und Verzeichnis ausgefallen sind?
2. wer entscheidet, einen Dienst abzuschalten?
3. wie warnen wir die Öffentlichkeit, ohne eine unsichere Hypothese zu bestätigen?
4. haben wir das vertragliche Recht, schnell die Protokolle des Lieferanten zu erhalten?
5. welcher Dienst muss zuerst wieder laufen?

Eine kurze zweistündige Simulation kann mehr bringen als ein fünfzigseitiger Plan, der nie geöffnet wird.

Der Lieferant gehört zum Krisenteam

Organisationen lagern Hosting, E-Mail, Sicherungen und manchmal die gesamte IT-Verwaltung aus. Die Verantwortung lässt sich weniger leicht auslagern.

Der Vertrag sollte Meldefristen, den Zugang zu Protokollen, die Teilnahme an Übungen, die Sicherung von Beweisen und das Ausstiegsverfahren regeln. Man muss auch die Unterauftragnehmer des Lieferanten kennen: Eine unsichtbare Kette wird schnell zu einer unkontrollierbaren Kette.

In der Krise muss der Dienstleister wissen, wer befugt ist, eine Abschaltung oder Wiederherstellung anzufordern. Die Organisation muss ihn über einen Weg erreichen können, der nicht vom ausgefallenen Dienst abhängt.

Kommunikation ist eine operative Funktion

Verspätete Kommunikation lässt Gerüchte die Lücke füllen. Zu bestimmte Kommunikation kann einen Fehler verbreiten oder die Ermittlungen erschweren.

Eine gute Botschaft unterscheidet zwischen:

• dem, was beobachtet wird;
• dem, was bestätigt ist;
• dem, was noch analysiert wird;
• dem, was die Nutzer jetzt tun müssen;
• dem Zeitpunkt, zu dem neue Informationen veröffentlicht werden.

Diese Struktur funktioniert in einer Gemeinde ebenso wie auf europäischer Ebene. Sie ermöglicht es mehreren Institutionen, schlüssig zu kommunizieren, ohne vorzugeben, alle Antworten zu kennen.

Brüssel verbindet mehrere Reaktionsebenen

Belgien beherbergt europäische Institutionen, diplomatische Netzwerke und zahlreiche Anbieter, die in mehreren Ländern tätig sind. Es ist daher zugleich Ziel, Nutznießer und Mitgestalter der europäischen Resilienz.

Die nationalen CSIRTs, die ENISA und die europäischen Mechanismen ermöglichen es, Indikatoren auszutauschen und grenzüberschreitende Krisen zu koordinieren. Der Wert dieser Netzwerke hängt jedoch von der Qualität der Informationen ab, die von der Basis kommen.

Der Informationsfluss muss in beide Richtungen funktionieren: europäische Warnungen an die lokalen Akteure, aber auch lokale Beobachtungen an diejenigen, die dasselbe Phänomen in mehreren Ländern sehen können.

Ein Vorbereitungsmodell für eine kleine Organisation

Eine Gemeinde, ein Verein oder ein KMU kann ohne komplexe Plattform beginnen:

• eine verantwortliche Person und eine Vertretung benennen;
• eine Seite mit Krisenkontakten ausdrucken;
• den Dienstleister nach seiner Notfallnummer und seinen Zusagen fragen;
• die Liste der vorrangigen Dienste offline aufbewahren;
• einmal im Jahr eine Wiederherstellung und einen Krisenanruf testen;
• im Voraus notieren, was bei einem Vorfall gesichert werden muss.

Danach kann die Organisation an einer branchenweiten oder regionalen Übung teilnehmen. Ziel ist nicht, fehlerfrei zu bestehen, sondern Blockaden zu entdecken, solange sie noch folgenlos sind.

Erkenntnisse in Entscheidungen umsetzen

Nach einer Übung oder einem Vorfall tauchen oft dieselben Befunde auf: zu weit gefasste Zugänge, Abhängigkeit von einer einzigen Person, ein ungenauer Vertrag, eine ungetestete Sicherung. Eine Nachbereitung ist nur dann wertvoll, wenn jeder Befund eine verantwortliche Person, eine Frist und ein Budget erhält.

Eine anonymisierte Fassung dieser Erkenntnisse zu teilen, hilft anderen Organisationen. Die Zusammenarbeit wird dann kumulativ: Jeder vermiedene oder besser bewältigte Vorfall erhöht die gemeinsame Fähigkeit.

Offizielle Quellen

• CCB — Belgien verabschiedet einen neuen nationalen Plan zur Reaktion auf Cyberkrisen (EN)
• Europäische Kommission — NIS2-Richtlinie
• CCB — zehn Jahre Aufbau der digitalen Resilienz Belgiens (EN)