IT-Sicherheitsagentur der EU prüft Möglichkeit für europaweites Warnsystem
Es gebe eine Vielzahl von Initiativen zur Warnung vor Sicherheitsrisiken für Netzbetreiber und -nutzer, die die ENISA derzeit als mögliche Quellen für ein europaweites System unter die Lupe nehme.
Die für die Netzsicherheit zuständige europäische Agentur ENISA (European Network and Information Security Agency) überprüft auf Anfrage der EU-Kommission bis zum Sommer mögliche Modelle für ein europaweites Warnsystem. Erste Ergebnisse sollen unter dem Projekt-Titel European Information Sharing and Alert System (EISAS) bereits im April den Mitgliedsstaaten vorgelegt werden, heißt es im aktuellen ENISA-Newsletter (PDF-Datei). Er beschäftigt sich hauptsächlich mit Monitoring und Frühwarnsystemen für das Internet: Es gebe eine Vielzahl von Initiativen zur Warnung vor Sicherheitsrisiken für Netzbetreiber und -nutzer, die ENISA derzeit als mögliche Quellen für ein europaweites System unter die Lupe nehme.
Die einfachste Lösung, berichten Marco Thorbruegge und Slawomir Gorniak in einer Zwischenbilanz, sei eine einfache Portallösung, die auf die entsprechenden privaten und öffentlichen Initiativen und Angebote weiterverweist. Eine andere Möglichkeit wäre die Integration der Ergebnisse aus solchen Quellen. Allerdings hätten ähnliche Vorstöße bislang nicht zu voller Zufriedenheit realisiert werden können, warnen die beiden Experten. Schließlich könne auch ein Rahmen für die Etablierung nationaler Systeme erarbeitet werden. Eine von der ENISA eingesetzte Expertengruppe soll bis zu der während der deutschen EU-Ratspräsidentschaft geplanten Sicherheitskonferenz im Juni eine Empfehlung formulieren.
Ebenfalls auf Anfrage der EU-Kommission wird bei ENISA über eine Rahmenregelung zum Austausch von Informationen zu Sicherheitsrisiken und -vorfällen nachgedacht. Nicht für Geld und gute Worte komme man derzeit an verlässliche Informationen zu Bedrohungen und tatsächlichen Attacken, schreibt ENISA-Experte Carsten Casper. "Jeder würde gerne mehr wissen, aber keiner will gerne seine eigenen Erfahrungen teilen", resümiert er. Ohne genaue Daten zu sicherheitsrelevanten Vorfällen lasse sich etwa nicht überprüfen, wie gut gesetzliche Maßnahmen greifen. Neben dem Überblick über die Sicherheit will die EU-Kommission auch gerne Einblicke, wieweit die Bürger der Netzsicherheit vertrauen.
Ziel der ENISA-Arbeit in diesem Bereich ist es laut Casper, einen Rahmen für den Austausch der Informationen zu definieren, der Anreize vor allem auch für private Anbieter schafft, sich zu beteiligen. Einfließen könnten laut ENISA Herstellerberichte, Daten von Behörden, Statistiken der CERTs, Marktanalysen und Daten von Providern. Man habe bereits eine Reihe möglicher Partner angesprochen, bittet aber noch um direkte Stellungnahmen.
Das EU-Parlament hatte Ende 2003 grünes Licht für die Einrichtung der ENISA als zentrale europäischen IT-Sicherheitsbehörde gegeben. Die ENISA soll vor allem als Expertenzentrum fungieren und die Netzwerksicherheit in allen Mitgliedsstaaten auf einen vergleichbaren hohen Stand bringen. Sie sei nicht als "Operationszentrum" angelegt, hieß es zur Arbeitsaufnahme der Agentur. Vielmehr solle die Behörde sicherheitsrelevante Daten sammeln und analysieren, die Kooperation mit verschiedenen Akteuren im Bereich Netzwerksicherheit vorantreiben, das Thema allgemein stärker auf die Agenda heben und bei Sicherheitslösungen mit Rat und Tat zur Seite stehen. Darüber hinaus gehöre es zum Aufgabenspektrum der Agentur, die Entwicklung von Standards zu beobachten, aber nicht selbst zu standardisieren.
Im aktuellen Jahresprogramm (PDF-Datei) der auf Kreta angesiedelten Agentur schlagen die neuen Anfragen der Kommission mit 75.000 Euro im Budget von 2,8 Millionen Euro zu Buche. Rund 1,5 Millionen gibt die ENISA für verschiedene Projekte, Workshops und Studien zur Informationssicherheit aus, den größten Posten macht dabei der Bereich "Sicherheitslücken in Europa schließen" mit 352.000 Euro aus. Darunter fallen unter anderem die Unterstützung beim Aufbau und Informationsaustausch nationaler CERTs, etwa in Litauen, und die Arbeiten zum Aufbau einer Datenbank zu verschiedenen Authentifizierungsstandards und -anbietern in Europa. (Monika Ermert) / (jk)
