(1)

Die Kommission sieht die Einführung von Netztechnik der 5. Generation (5G) als wichtige Voraussetzung für künftige digitale Dienste und als eine Priorität der Strategie für einen digitalen Binnenmarkt. Sie hat den 5G-Aktionsplan angenommen, um sicherzustellen, dass die Union ab 2020 über die für ihren digitalen Wandel erforderlichen Vernetzungsinfrastrukturen verfügt (1).

(2)

Die 5G-Netze werden auf der derzeitigen Netztechnik der 4. Generation (4G) aufbauen; sie werden neue Dienstekapazitäten bereitstellen und zur zentralen Infrastruktur und Triebkraft für weite Teile der Wirtschaft der Union werden. Sobald die 5G-Netze eingeführt sind, werden sie das Rückgrat eines breiten Spektrums von Diensten bilden, die für das Funktionieren des Binnenmarkts, die Aufrechterhaltung und Ausführung wichtiger gesellschaftlicher und wirtschaftlicher Funktionen — wie Energie, Verkehr, Bank- und Gesundheitswesen — sowie industrieller Steuerungssysteme unverzichtbar sind. Die Organisation demokratischer Prozesse, z. B. von Wahlen, wird sich mehr und mehr auf digitale Infrastrukturen und 5G-Netze stützen.

(3)

Aufgrund der Abhängigkeit vieler kritischer Dienste von 5G-Netzen wären die Folgen systemischer und weitverbreiteter Störungen besonders gravierend. Daher ist die Gewährleistung der Cybersicherheit von 5G-Netzen ein Thema von strategischer Bedeutung für die Union in einer Zeit, in der Cyberangriffe zunehmen und immer komplexer werden.

(4)

Aufgrund der Vernetzung und des transnationalen Charakters der Infrastrukturen, die dem digitalen Ökosystem zugrunde liegen, sowie des grenzübergreifenden Charakters der betreffenden Bedrohungen würden sich alle erheblichen Schwachstellen und/oder Cybersicherheitsvorfälle, die 5G-Netze in einem Mitgliedstaat betreffen, auf die Union als Ganzes auswirken. Deshalb sollten Maßnahmen zur Gewährleistung eines hohen gemeinsamen Cybersicherheitsniveaus der 5G-Netze getroffen werden.

(5)

Die Mitgliedstaaten haben bestätigt, dass Handlungsbedarf auf Unionsebene besteht. Laut seinen Schlussfolgerungen vom 21. März 2019 sieht der Europäische Rat der Empfehlung der Kommission zu einem abgestimmten Vorgehen bei der Sicherheit von 5G-Netzen erwartungsvoll entgegen (2).

(6)

Die Wahrung der europäischen Souveränität unter uneingeschränkter Achtung der europäischen Werte der Offenheit und Toleranz sollte ein wichtiges Ziel sein (3). Ausländische Investitionen in strategischen Sektoren, der Erwerb kritischer Anlagen, Technologien und Infrastrukturen in der Union sowie die Versorgung mit kritischen Ausrüstungen können ebenfalls eine Gefahr für die Sicherheit der Union darstellen.

(7)

Die Cybersicherheit der 5G-Netze ist von entscheidender Bedeutung für die Gewährleistung der strategischen Autonomie der Union, wie in der Gemeinsamen Mitteilung „EU-China — Strategische Perspektiven“ (4) anerkannt wird.

(8)

In der Entschließung des Europäischen Parlaments zu Sicherheitsbedrohungen im Zusammenhang mit der zunehmenden technologischen Präsenz Chinas in der EU (5) werden die Kommission und die Mitgliedstaaten ebenfalls aufgefordert, Maßnahmen auf Unionsebene zu ergreifen.

(9)

In dieser Empfehlung werden Leitlinien für geeignete Risikoanalyse- und -managementmaßnahmen auf nationaler Ebene, für die Entwicklung einer koordinierten europäischen Risikobewertung und für die Einrichtung eines Verfahrens zur Entwicklung eines gemeinsamen Instrumentariums bewährter Risikomanagementmaßnahmen dargelegt, die der Bekämpfung von Cybersicherheitsrisiken in 5G-Netzen dienen sollen.

(10)

Es gibt einen starken Rechtsrahmen für den Schutz elektronischer Kommunikationsnetze in der Union.

(11)

Der Rechtsrahmen der Union im Bereich der elektronischen Kommunikation (6) fördert den Wettbewerb, den Binnenmarkt und die Interessen der Endnutzer und verfolgt in Verbindung mit dem Europäischen Kodex für die elektronische Kommunikation (7) ein zusätzliches Konnektivitätsziel in Form der folgenden Ergebnisse: flächendeckende Einführung und Nutzung von Netzen mit sehr hoher Kapazität für alle Bürger und Unternehmen der Union unter Wahrung der Interessen der Bürgerinnen und Bürger. Gemäß der Richtlinie 2002/21/EG müssen die Mitgliedstaaten dafür sorgen, dass die Integrität und Sicherheit der öffentlichen Kommunikationsnetze gewährleistet wird und dass Unternehmen, die öffentliche Kommunikationsnetze bereitstellen oder öffentlich zugängliche elektronische Kommunikationsdienste erbringen, verpflichtet sind, hinreichende technische und organisatorische Maßnahmen zur angemessenen Beherrschung der Risiken für die Sicherheit von Netzen und Diensten zu ergreifen. In der Richtlinie ist ferner vorgesehen, dass die zuständigen nationalen Regulierungsbehörden u. a. befugt sind, verbindliche Anweisungen zu erteilen, um die Einhaltung dieser Verpflichtungen sicherzustellen.

(12)

Darüber hinaus gestattet die Richtlinie 2002/20/EG des Europäischen Parlaments und des Rates (8) den Mitgliedstaaten, Bedingungen im Hinblick auf den Schutz öffentlicher Netze gegen unbefugten Zugang an die Allgemeingenehmigung zu knüpfen, um die Vertraulichkeit der Kommunikation gemäß der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (9) zu wahren.

(13)

Um die Umsetzung dieser Verpflichtungen zu unterstützen, hat die Union eine Reihe von Kooperationsgremien eingerichtet. Die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA), die Kommission, die Mitgliedstaaten und die nationalen Regulierungsbehörden haben technische Leitlinien für die nationalen Regulierungsbehörden in Bezug auf die Meldung von Sicherheitsvorfällen, Sicherheitsmaßnahmen und Bedrohungen und Vermögenswerte (10) ausgearbeitet. In der mit der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates (11) eingesetzten Kooperationsgruppe (im Folgenden die „Kooperationsgruppe“) kommen die zuständigen Behörden zusammen, um die Zusammenarbeit zu unterstützen und zu erleichtern, indem sie insbesondere strategische Vorgaben für die Tätigkeiten des Netzes der Computer-Notfallteams (Computer Security Incident Response Teams) machen, um die operative Zusammenarbeit auf technischer Ebene zu vereinfachen.

(14)

Der künftige europäische Rahmen für die Cybersicherheitszertifizierung (12) sollte ein wesentliches unterstützendes Instrument bilden, um ein kohärentes Sicherheitsniveau zu fördern. Dies sollte die Entwicklung von Systemen für die Cybersicherheitszertifizierung ermöglichen, die den Bedürfnissen der Nutzer von 5G-Geräten und -Software entsprechen. Aufgrund der wesentlichen Bedeutung dieser Infrastrukturen sollte die Entwicklung einschlägiger europäischer Systeme für die Cybersicherheitszertifizierung von Produkten, Dienstleistungen oder Prozessen der Informations- und Kommunikationstechnik, die für 5G-Netze genutzt werden, eine unmittelbare Priorität darstellen. Die Mitgliedstaaten und die Marktteilnehmer sollten sich aktiv an der Entwicklung solcher Zertifizierungssysteme beteiligen und u. a. die Festlegung spezifischer Schutzprofile für 5G-Netze unterstützen.

(15)

In Ermangelung harmonisierter Unionsrechtsvorschriften können die Mitgliedstaaten im Wege von nationalen technischen Vorschriften, die im Einklang mit dem Unionsrecht verabschiedet worden sind, festlegen, dass ein europäisches System für die Cybersicherheitszertifizierung Pflicht sein sollte. Die Mitgliedstaaten können auch im Rahmen der öffentlichen Auftragsvergabe und der Richtlinie 2014/24/EU des Europäischen Parlaments und des Rates (13) auf europäische Systeme für die Cybersicherheitszertifizierung zurückgreifen und könnten die Entwicklung von Hilfsmechanismen wie z. B. einer Beratungsplattform für den Erwerb von Cybersicherheitslösungen durch öffentliche Auftraggeber unterstützen.

(16)

Ein hohes Maß an Datenschutz und Privatsphäre ist ein wichtiger Faktor, um die Sicherheit der 5G-Netze zu gewährleisten. Auch auf Unionsebene wurden Vorschriften festgelegt, die die Sicherheit der Verarbeitung personenbezogener Daten u. a. im Bereich der elektronischen Kommunikation gewährleisten. In der Datenschutz-Grundverordnung (14) ist die Verpflichtung verankert, dass personenbezogene Daten so verarbeitet werden sollen, dass ihre Sicherheit hinreichend gewährleistet ist, wozu auch gehört, dass Unbefugte keinen Zugang zu den Daten haben/erhalten und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können. Die Datenschutzrichtlinie für elektronische Kommunikation enthält besondere Vorschriften über den Schutz der Vertraulichkeit der Kommunikation und der Endgeräte der Nutzer. Außerdem werden Diensteanbieter dazu verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheit ihrer Dienste zu gewährleisten.

(17)

Die Union hat außerdem ein Rechtsinstrument verabschiedet, mit dem kritische Infrastrukturen und Technologien wie jene, die in der Kommunikation genutzt werden, geschützt werden können, indem den Mitgliedstaaten gestattet wird' ausländische Direktinvestitionen aus Gründen der Sicherheit und der öffentlichen Ordnung zu überprüfen, und indem ein Kooperationsmechanismus geschaffen wird, der es den Mitgliedstaaten und der Kommission ermöglicht, Informationen auszutauschen und Bedenken in Bezug auf bestimmte Investitionen zu äußern (15).

(18)

Die Mitgliedstaaten und die Betreiber treffen derzeit wichtige vorbereitende Schritte, um die groß angelegte Einführung von 5G-Netzen zu ermöglichen. Mehrere Mitgliedstaaten haben im Zusammenhang mit der Durchführung der Verfahren zur Erteilung von Nutzungsrechten für Funkfrequenzen, die für 5G-Netze bestimmt sind (16), Bedenken hinsichtlich potenzieller Sicherheitsrisiken der 5G-Netze geäußert und Maßnahmen zur Bewältigung dieser Risiken geprüft.

(19)

Bei der Bewältigung von Cybersicherheitsrisiken in 5G-Netzen sollten sowohl technische als auch andere Faktoren berücksichtigt werden. Zu den technischen Faktoren können Schwachstellen im Bereich der Cybersicherheit zählen, die für den unberechtigten Zugriff auf Informationen (z. B. Cyberspionage aus wirtschaftlichen oder politischen Gründen) oder für andere böswillige Zwecke (Cyberangriffe zur Störung oder Zerstörung von Systemen und Daten) genutzt werden können. Zu prüfen wäre, ob die Netze über ihren gesamten Lebenszyklus hinweg geschützt werden müssen und ob alle einschlägigen Ausrüstungen auch in den Entwurfs-, Entwicklung-, Auftragsvergabe, Einführungs-, Betriebs- und Wartungsphasen der 5G-Netze in diesen Schutz einbezogen werden müssen.

(20)

Weitere Faktoren können regulatorische oder sonstige Anforderungen an die Anbieter von Informations- und Kommunikationstechnik betreffen. Bei einer Bewertung der Bedeutung solcher Faktoren wäre unter anderem dem allgemeinen Risiko eines Einflusses eines Drittlands, insbesondere in Bezug auf das Governance-Modell, dem Fehlen von Kooperationsvereinbarungen über die Sicherheit oder ähnlicher Regelungen wie Angemessenheitsbeschlüsse in Bezug auf den Datenschutz zwischen der Union und dem betreffenden Drittland oder der Frage, ob dieses Land Vertragspartei multilateraler, internationaler oder bilateraler Abkommen über Cybersicherheit, die Bekämpfung der Cyberkriminalität oder den Datenschutz ist, Rechnung zu tragen.

(21)

Als wichtiger Schritt zur Entwicklung eines Unionskonzepts für die Cybersicherheit von 5G-Netzen sollte eine Risikobewertung auf nationaler Ebene durchgeführt und abgeschlossen werden. Dies würde den Mitgliedstaaten dabei helfen, die nationalen Maßnahmen in Bezug auf die Sicherheitsanforderungen und das Risikomanagement im Lichte dieser Bewertung anzupassen.

(22)

Es sollten Koordinierungsmaßnahmen entwickelt werden, um die Wirksamkeit von Maßnahmen zur Bewältigung dieser Cybersicherheitsbedrohungen zu gewährleisten, die für das reibungslose Funktionieren des Binnenmarkts und den Schutz personenbezogener Daten und der Privatsphäre von wesentlicher Bedeutung sind.

(23)

Die nationalen Risikobewertungen sollten die Grundlage für eine koordinierte Risikobewertung auf Unionsebene bilden, die sich aus einer Erfassung der Bedrohungslage und einer gemeinsamen Überprüfung durch die Mitgliedstaaten mit Unterstützung der Kommission und in Zusammenarbeit mit der Agentur der Europäischen Union für Cybersicherheit (ENISA) zusammensetzt.

(24)

Unter Berücksichtigung der Risikobewertungen auf Ebene der Mitgliedstaaten und der Union sollte die Kooperationsgruppe eine Instrumentarium schaffen, mit dem Arten von Cybersicherheitsrisiken und möglichen Maßnahmen zur Minderung der Risiken in Bereichen wie Zertifizierung, Erprobung und Zugangskontrollen ermittelt werden können. Sie sollte ferner mögliche spezifische Maßnahmen bestimmen, die geeignet sind, gegen die von einem oder mehreren Mitgliedstaaten ermittelten Risiken vorzugehen. Die Kooperationsgruppe sollte die Unterstützung der Agentur der Europäischen Union für Cybersicherheit (ENISA), von Europol, des Gremiums Europäischer Regulierungsstellen für elektronische Kommunikation (GEREK) und des EU-Zentrums für Informationsgewinnung und -analyse in Anspruch nehmen. Dieses Instrumentarium sollte dazu dienen, die Kommission bei der Ausarbeitung gemeinsamer Mindestanforderungen für die weitere Gewährleistung eines hohen Cybersicherheitsniveaus von 5G-Netzen in der gesamten Union zu unterstützen.

(25)

Wenn Maßnahmen zur Bewältigung der Cybersicherheitsrisiken ergriffen werden, sollte beim Aufbau eines einheitlichen Netzes bedacht werden, die Cybersicherheit durch Anbietervielfalt zu fördern.

(26)

Die Zuständigkeiten der Mitgliedstaaten für Tätigkeiten in Bezug auf die öffentliche Sicherheit, die Landesverteidigung, die nationale Sicherheit und das staatliche Handeln im strafrechtlichen Bereich, einschließlich des Rechts der Mitgliedstaaten, Anbieter oder Lieferanten aus Gründen der nationalen Sicherheit von ihren Märkten auszuschließen, bleiben von dieser Empfehlung unberührt —

(1)

(2)

(3)

(4)

(5)

(6)

(7)

(8)

(9)

(10)

(11)

(12)

(13)

(14)

(15)

(16)

(17)

(18)

(19)