Die Niederlande wurden von der Europäischen Kommission vor Gericht verklagt. Der Grund: Die Regierung hat die Richtlinie zum Schutz lebenswichtiger Sektoren wie Energie, Verkehr, Gesundheitswesen und digitale Infrastruktur immer noch nicht in nationales Recht umgesetzt. Das Ministerium für Justiz und Sicherheit antwortet, dass „zuerst eine gute Grundlage erforderlich ist“. Diese Antwort verdient einen genaueren Blick.

Das zugrunde liegende Informationssicherheitsstandards-Framework ISO 27001 existiert in Form seiner Vorgänger bereits seit den 1990er Jahren. Die europäische Richtlinie liegt schon seit Jahren auf dem Tisch. Darüber hinaus beginnt die Gesetzgebung in Brüssel, und die Niederlande sind Mitglied und können einfach mitmachen, nicht erst, wenn der Text endgültig ist. Ein Fundament hätte und hätte schon vor langer Zeit vorhanden sein können und müssen. Wie viel mehr Zeit will die Regierung?

Das Kabinett hat keine eigenen Kronjuwelen

Während der Debatte über die Übernahme von Solvinity schien das Kabinett nicht in der Lage zu sein, anzugeben, was die Kronjuwelen der Zentralregierung sind. Diese Liste wurde noch erstellt. Gleichzeitig fordert dieselbe Regierung nun lebenswichtige Organisationen auf, sich gegen Bedrohungen zu wappnen. Eine bemerkenswerte Abfolge: Zuerst andere ermutigen, dann eine Bestandsaufnahme dessen machen, was geschützt werden muss.

Die Praxis ist mittlerweile beunruhigend. Das Finanzamt kann seine eigene E-Mail nicht in Ordnung bringen und muss diese auslagern. Kritische Einrichtungen wie DigiD und die Message Box können nicht innerhalb von Monaten verschoben werden. Vorfälle bei der Staatsanwaltschaft, dem Finanzministerium, Odido, Rituals und der niederländischen Bevölkerungsumfrage brachten die Verwundbarkeit immer wieder ans Licht.

„Auch andere Länder hinken hinterher“

Der Sprecher betont gegenüber Telegraaf, dass die Niederlande nicht allein seien: Auch Bulgarien, Frankreich, Luxemburg, Polen, Spanien und Schweden seien vorgeladen. Das ist das Argument des Autofahrers, der auf andere Raser verweist, die ebenfalls ein Bußgeld erhalten haben. Es ändert nichts an der Tatsache, dass Länder wie Griechenland, Italien, Kroatien, Zypern, Ungarn, Malta, Rumänien, Slowenien und die Slowakei die Richtlinie eingeführt haben. Wir hinken den Ländern hinterher, denen Den Haag nacheifern möchte, und den Ländern, denen das Land lieber nicht nacheifern möchte.

Nicht komplex, eine Frage des Willens

Die Regierung nennt den Prozess „umfangreich und komplex“. Aber das Wesentliche ist bekannt: An Standards festhalten, mit der Umsetzung beginnen, sobald Brüssel die Richtung vorgibt, und dafür sorgen, dass wichtige Prozesse einem Scheitern standhalten. Und es wird nach den Grundlagen der Informationssicherheit gefragt, und die sind überhaupt nicht neu. Das ist keine besondere Fachkompetenz. Das ist administrative Handarbeit. Oder in Rotterdamer Worten: Nicht reden, nur polieren.

Die Bedrohung ist jedoch nicht abstrakt. Der MIVD, der AIVD, das NCTV und ausländische Geheimdienste warnen kontinuierlich vor Cyberangriffen, Sabotage und Spionage aus Russland, China und dem Iran. Der Direktor des MIVD spricht von Aktionen, die knapp unter der Schwelle eines offenen militärischen Konflikts bleiben. Das Kabinett hört es, nickt und verweist auf die nächste Stiftung.

Na und

Zwei Vorschläge liegen auf der Hand. Lassen Sie die Regierung dem Repräsentantenhaus monatlich darüber berichten, was getan wurde, was im Gange ist und was im kommenden Monat passieren wird, um sicherzustellen, dass Informationssicherheit und Widerstandsfähigkeit gewährleistet sind. Konkret auf organisatorischer Ebene, mit Fristen. Und: Neue politische Ambitionen auf Eis legen, bis Datenschutz, Informationssicherheit und europäische Verpflichtungen tatsächlich in Ordnung sind. Wer sein Haus nicht abschließen lässt, kauft keine neuen Möbel.

Eine Klage der Europäischen Kommission sollte ein Weckruf sein. Wenn es um Widerstandsfähigkeit geht, stehen wir auf Rosenwasser. Derzeit scheint es sich vor allem um eine neue Dossier-Regel zu handeln, an der das Kabinett arbeitet. Die Rechnung dafür wird nicht in Den Haag bezahlt, sondern beim ersten großen Ausfall eines lebenswichtigen Sektors.

Dieser Artikel erschien bereits am AG Connect.